Llama Prompt Guard 2 erkennt Prompt-Injection und Jailbreaks, also Versuche, die Anweisungen oder Schutzmechanismen eines Sprachmodells zu umgehen. Es bewertet jeden Text als gutartig oder bösartig und lässt sich jedem Modell vorschalten, auch vor Dokumente und Webinhalte, die ein Agent verarbeitet.
Es gibt zwei Größen: 86M für die beste Erkennung auch in anderen Sprachen und 22M für sehr geringe Latenz. Beide laufen laut Meta auch auf CPUs. Anders als Llama Guard 4 prüft Prompt Guard 2 keine Inhaltskategorien, sondern nur Angriffe.
Llama Prompt Guard 2 (86M und 22M)
Meta
April 2025
Kleiner Klassifikator (gutartig oder bösartig), rein textbasiert
86 Mio. bzw. 22 Mio. (ohne Einbettungsschicht)
Encoder-Modell: 86M auf Basis von mDeBERTa-base, 22M auf Basis von DeBERTa-v3-xsmall
512 Token, längere Texte in Abschnitten prüfen
Die genauere Variante auf mehrsprachiger Basis, trainiert mit englischen und anderssprachigen Angriffen.
Laut Meta rund 75 % weniger Latenz und Rechenaufwand, dafür schwächer bei anderen Sprachen als Englisch.
Llama Guard 4 prüft Inhalte auf 14 Gefahrenkategorien. Zusammen decken beide Angriffe und schädliche Inhalte ab.
| Benchmark | Prompt Guard 2 86M | Prompt Guard 2 22M | Prompt Guard 1 |
|---|---|---|---|
| AUC (Englisch) | 0,998 | 0,995 | 0,987 |
| Recall bei 1 % Fehlalarmen (Englisch) | 97,5 % | 88,7 % | 21,2 % |
| AUC (mehrsprachig) | 0,995 | 0,942 | 0,983 |
| Latenz je Prüfung (A100, 512 Token) | 92,4 ms | 19,3 ms | 92,4 ms |
| Verhinderte Angriffe in AgentDojo | 81,2 % | 78,4 % | 67,6 % |
Quelle: Model Card von Meta. AUC, Recall und Latenz auf einem nicht öffentlichen Testsatz von Meta, AgentDojo ist ein öffentlicher Test, gemessen bei 3 % geringerem Nutzen der Agenten.
Prompt Guard 2 ist klein genug für jeden Endpunkt. Wir binden es mit Ihnen als Schutzschicht in Ihre KI-Anwendungen ein.
Prompt Guard 2 baut auf Encoder-Modellen von Microsoft auf, die unter der MIT-Lizenz stehen. Meta hat den Datensatz an Angriffen gegenüber Version 1 erweitert und eine Verlustfunktion gewählt, die Fehlalarme bei harmlosen Texten stärker bestraft.
Neu ist außerdem ein gehärteter Tokenizer, der Tricks wie eingestreute Leerzeichen oder zerstückelte Wörter abfängt. Die Unterscheidung zwischen Injection und Jailbreak aus Version 1 ist entfallen, weil sie sich laut Meta als zu unscharf erwiesen hat.
Llama Prompt Guard 2 eignet sich als schneller Vorfilter vor jedem Sprachmodell. In einer KI-Beratung planen wir mit Ihnen die passende Schutzschicht.
Hohe Trefferquote: 97,5 % erkannte Angriffe bei 1 % Fehlalarmen (86M), Version 1 kam auf 21,2 %.
Sehr geringe Latenz: Die 22M-Variante braucht 19,3 ms je Prüfung auf einer A100.
Wirksam in Agenten: In AgentDojo verhindert die 86M-Variante 81,2 % der Angriffe.
Keine Grafikkarte nötig: Beide Größen laufen laut Meta auch auf CPUs.
Kurzes Kontextfenster: Nur 512 Token je Prüfung, längere Texte müssen geteilt werden.
Nur Angriffe, keine Inhalte: Schädliche Inhalte ohne Angriffsversuch erkennt es nicht, dafür braucht es zusätzlich einen Inhaltsfilter.
Streng bei Überschreibungen: Jeder ausdrückliche Versuch, frühere Anweisungen zu überschreiben, gilt als bösartig, auch wenn er harmlos gemeint ist.
22M schwächer bei Fremdsprachen: AUC von 0,942 mehrsprachig gegenüber 0,995 bei der 86M-Variante.
Wir planen die Integration für Llama Prompt Guard 2, übernehmen Inbetriebnahme, Quantisierung und Betrieb und hosten das Modell auf Wunsch DSGVO-konform in unserem zertifizierten Rechenzentrum in Limburg an der Lahn.
Die 86M-Variante erkennt Angriffe zuverlässiger, vor allem in anderen Sprachen als Englisch. Die 22M-Variante braucht nur etwa ein Fünftel der Zeit je Prüfung und genügt, wenn fast nur englische Texte geprüft werden.
Prompt Guard 2 erkennt nur Angriffe auf das Sprachmodell selbst. Llama Guard 4 prüft Inhalte auf 14 Gefahrenkategorien wie Hass oder Straftaten. Für einen umfassenden Schutz lassen sich beide kombinieren.
Unter der Llama 4 Community License. Die Einschränkung für Unternehmen in der EU gilt laut Wortlaut der Nutzungsrichtlinie für multimodale Modelle. Prompt Guard 2 verarbeitet nur Text.
Ja. Meta hat beide Größen unter anderem mit Deutsch getestet. Die 86M-Variante ist dafür deutlich besser geeignet, weil sie auf einem mehrsprachigen Modell aufbaut.
Ja. Über unsere GPU Cloud stellen wir die nötige Rechenleistung bereit. Alternativ bündelt der MaaS Proxy verschiedene Modelle über eine einheitliche Schnittstelle. Beide Wege betreiben wir DSGVO-konform in Deutschland.
Möchten Sie individuell beraten werden?
Unsere KI-Experten sind für Sie da!
