IBM 发布 LLM 原生标记语言 LLMON 和两款 Granite 4.1 预览模型（3B/8B）：用保留 token 把指令和数据分开，OPI 间接注入测试中比最好的前沿模型多挡住 47% 的攻击

核心背景与行业痛点

Agent 一边读网页、文档和工具结果，一边执行用户指令，最大的隐患是间接提示注入：恶意指令藏在数据里，模型分不清哪段是任务、哪段只是材料。常见的 chat template 只区分角色，JSON 又是为解析器设计的，分词器并不遵守它的语法。IBM 认为这类隐式结构正是小模型脆弱、容易被劫持的原因之一。

架构亮点与底层机制

LLMON 用词表里的保留特殊 token 做分隔符，结构和普通文本永远不共用字符；每个块带语义标签和唯一 ID，最后由 exec 块声明运行哪条指令、作用于哪些输入、输出写到哪里。没被 exec 引用的指令和数据会被忽略，作为输入读到的工具结果只当材料读、不当命令执行。训练时还加入了不绑定的诱饵指令和数据。它不替代 chat template，而是在其上补充语义。

权威 Benchmark 与实测跑分对比

官方在 OPI 基准（把注入藏在经典 NLP 任务的数据里）上对比多款开源和闭源模型：LLMON 模型比测试中最好的前沿模型多挡住 47% 的攻击，比最好的开源模型多挡住 95%，ASB 和 StruQ 上趋势相似；通用基准与 Granite 4.1 Instruct 持平。以上均为官方自测，且只覆盖静态注入。

开发者实战落地与开箱指南

在 Hugging Face 下载 3B 或 8B 预览模型，照常构造消息列表并标出 instruction、data、requirement 等部分，自带的 chat template 会自动渲染成 LLMON。已有 JSON 管线可用官方转换器无损转换，也可以直接在 Mellea 里使用。注意这是实验预览，安全性是学到的行为而非强制保证，权限控制仍要写在应用代码里。