Granite 4.1 LLMON 프리뷰: 지시·데이터 분리와 공격 성공률의 해석

IBM이 2026년 11월 12일 Granite 4.1 기반 LLMON 실험용 프리뷰를 공개했다. 모델 크기는 3B와 8B이며 라이선스는 Apache 2.0이다. IBM은 탐색과 평가를 위한 공개라고 설명하고 운영 환경에는 적합하지 않다고 명시했다. IBM 공식 발표

에이전트가 검색 문서나 도구 응답을 읽을 때는 그 안의 악성 지시까지 따라갈 수 있다. LLMON은 프롬프트 구성 요소에 식별자를 붙여 실행할 지시와 읽을 데이터를 구분한다. 기존 채팅 모델 앞에 탐지기를 덧붙이는 방식으로 이해하면 동작을 놓친다.

실행할 지시와 읽을 데이터를 연결한다

LLMON은 LLM Object Notation의 약자다. 시스템 정책, 사용자 지시, 문서, 도구 결과를 각각 블록으로 나눈다. exec 블록은 어떤 지시를 어떤 입력에 적용하고 출력을 어디에 쓸지 가리킨다. 3B 모델 카드의 형식 설명

모델은 exec<|.|>instruction과 exec<|.|>system에 연결된 내용을 권한 있는 지시로 취급한다. exec<|.|>input으로 연결된 문서나 도구 응답은 읽을 자료로 취급된다. 입력에 명령형 문장이 있어도 실행 지시로 삼지 않도록 학습한다.

개발자는 동봉된 템플릿에 messages를 넘기고 apply_chat_template을 호출한다. 구성 요소의 exec: True는 실행 블록에 연결하라는 표시이며 exec: False인 내용도 문맥에는 남지만 실행 포인터가 연결되지 않는다. 공식 템플릿 사용법

공격 성공률은 시험별로 읽어야 한다

동반 논문의 첫 제출일은 2026년 10월 28일이다. 11월 12일의 모델 공개와 논문 제출을 구분해야 한다. 아래 값은 IBM 연구진이 보고한 공격 성공률(ASR, %)이다. 낮을수록 공격에 덜 따랐다는 뜻이며 실제 서비스 전체의 침해 확률은 아니다. 논문 제출 이력, 논문 표 2

• Granite-4.1-3B Instruct: OPI 100.0%, ASB 99.2%.
• Granite-4.1-3B LLMON: OPI 0.1%, ASB 5.6%.
• Granite-4.1-8B Instruct: OPI 96.3%, ASB 52.8%.
• Granite-4.1-8B LLMON: OPI 0.02%, ASB 3.1%.

OPI는 일반 언어 처리 과제의 데이터에 공격을 넣는다. ASB는 에이전트가 받는 도구 관측값에 공격을 넣는다. 같은 성공률이라도 공격이 들어오는 위치가 다르다. 이 글에서 독립 재현 실험은 하지 않았다.

템플릿과 방어 경계부터 확인한다

일반 채팅 형식으로 입력하면 학습 분포에서 벗어나 품질이 떨어질 수 있다고 모델 카드가 경고한다. 번들 템플릿을 사용하고 애플리케이션이 지시와 외부 자료를 어느 필드에 넣는지 확인하는 편이 좋다. 3B 모델 카드의 제한

권한 구분은 학습된 행동이며 강제로 보장되는 격리는 아니다. IBM은 민감한 시스템에 접근하는 에이전트에서 이를 유일한 방어 수단으로 쓰지 말라고 명시한다. 형식을 바꿨다는 이유만으로 안전을 확정할 수 없다.

논문은 구분 토큰 때문에 문맥 길이가 약 7~15% 늘어난다고 보고한다. 연구진은 지연 시간과 처리량에 미치는 영향을 체계적으로 측정하지 않았다. 여러 대화 턴에 걸친 공격에는 방어가 더 약하다고도 밝힌다. 논문 제한 사항

개발팀이 도입을 검토한다면 자사 문서와 도구 응답으로 공격 시험을 따로 구성할 수 있다. 한국어와 긴 문서의 동작, 토큰 사용량과 지연 시간도 함께 측정할 항목이다. 이는 이 글의 도입 검토 제안이며 IBM의 운영 적합성 보증이 아니다.