# Prompt Injection Guard от Horizon Labs: локальный фильтр атак на AI-агентов

Источник: https://modelium.tech/zhurnal/horizon-prompt-injection-guard-local-onnx-v2/

Horizon Labs 23 сентября 2026 года разместила модели Prompt Injection Guard на 141 млн и 308 млн параметров для классификации прямых и косвенных prompt-injection-атак. Доступны веса Safetensors, ONNX и вариант с квантованными embeddings; карточки помечены Apache 2.0. Фильтр можно запускать рядом с локальным агентом, не передавая его письма и документы внешнему API. Авторские оценки показывают как сильные результаты на части наборов, так и пропуски атак и ложные срабатывания: это дополнительный слой защиты, а не гарантия безопасности.

## Что выпустили

23 сентября 2026 года Horizon Labs загрузила на Hugging Face два классификатора Prompt Injection Guard: **small (141 млн параметров)** и **base (308 млн)**. В тот же день появились ONNX-файлы и обновление v2 с нормализацией обфусцированного текста; v2.1 переименовало выходные метки в `SAFE` и `INJECTION`, не изменив веса. Текущие карточки описывают именно эту линию, а не новый выпуск весов 24 сентября: сегодняшние коммиты правили документацию. Репозитории не закрыты запросом доступа, содержат Safetensors, исходники подготовки и оценки, ONNX FP32 и ONNX с INT8-эмбеддингами. Лицензия весов указана в метаданных обеих карточек как Apache 2.0; самостоятельного файла LICENSE в их деревьях нет. Репозиторий исходного кода на GitHub имеет LICENSE Apache 2.0, а базовая mmBERT-модель помечена MIT. Разрешение на коммерческое использование следует из этих указанных лицензий при соблюдении их условий; оно не равно утверждению о независимой юридической экспертизе каждого обучающего набора [s1](#src-s1) [s2](#src-s2) [s3](#src-s3) [s4](#src-s4) [s5](#src-s5).

Классификатор предназначен для проверки прямых попыток изменить инструкции ассистента и косвенных инструкций, спрятанных в письмах, веб-страницах, документах, RAG-фрагментах и результатах инструментов. Это **не** классификатор вредного содержания: обычный опасный запрос без попытки обойти инструкции может получить метку `SAFE`. Для локального агентного контура это значит, что содержимое можно проверять до передачи LLM, но доступ инструмента к секретам и отправке сообщений всё равно нужно ограничивать отдельно [s2](#src-s2).

## Как использовать локально

Карточка base приводит пример `pipeline("text-classification", model="Horizon-Labs/prompt-injection-guard-base")` в Transformers. Для ONNX авторы предлагают загрузить `onnx/model_quantized.onnx` и создать сессию `onnxruntime.InferenceSession(...)`; указан также пример для `@huggingface/transformers` с `dtype: "q8". ONNX-файл с квантованными эмбеддингами имеет 641 125 912 байт по манифесту base, тогда как основной Safetensors — 1 230 141 424 байта. Это **размеры артефактов**, а не проверенный минимум оперативной или видеопамяти. Нормализатор встроен в поставляемый токенизатор; при использовании своего токенизатора с ONNX авторы требуют повторить эту обработку. Для длинных документов карточка показывает проход перекрывающимися окнами и максимум вероятности инъекции; без него вход может быть усечён. Modelium не запускал эти модели и не проверял совместимость с конкретным устройством [s1](#src-s1) [s2](#src-s2).

## Что говорят оценки авторов

Все приведённые далее цифры получены командой Horizon Labs, а не редакцией. Для **base** при пороге 0,5 опубликованы F1 **0,947** на PIArena (1 500 примеров), F1 **0,625** на BIPIA (3 178 примеров) и доля верной классификации **0,929** на безопасном наборе NotInject (339 примеров). На BIPIA полнота обнаружения составляет только **0,456**: опасные вставки могут проходить фильтр. В Qualifire ложноположительная доля — около **0,196** на безопасных примерах этого набора, преимущественно ролевых запросах. Авторы раскрыли скрипт оценки, таблицы результатов и часть синтетических данных, но независимую репликацию этих результатов мы не проводили. Синтетические контрольные наборы созданы тем же генератором, что и часть тренировочных данных, поэтому авторы сами предупреждают об их оптимистичности [s2](#src-s2) [s6](#src-s6).

**Практический вывод:** начать с проверки документов и результатов инструментов перед агентом, настроить порог под цену ложных тревог, а для опасных действий оставить подтверждение человеком и минимальные права инструментов. Сама команда предупреждает, что адаптивные атаки обходят любой классификатор и что некоторые короткие или контекстно неоднозначные инструкции модель пропускает [s2](#src-s2).

## Источники

1. [Hugging Face API: Prompt Injection Guard base, состав файлов и ревизия](https://huggingface.co/api/models/Horizon-Labs/prompt-injection-guard-base) — получено 2026-09-24
2. [Horizon Labs: карточка Prompt Injection Guard base, закреплённая ревизия](https://huggingface.co/Horizon-Labs/prompt-injection-guard-base/blob/bd042c784f110d1e6f0bd42f27233a16e97d2ae8/README.md) — получено 2026-09-24
3. [Hugging Face API: Prompt Injection Guard small](https://huggingface.co/api/models/Horizon-Labs/prompt-injection-guard-small) — получено 2026-09-24
4. [Horizon Labs: лицензия исходного кода Agent IO Guards](https://github.com/horizon-ai-labs/agent-io-guards/blob/main/LICENSE) — получено 2026-09-24
5. [Hugging Face API: исходная mmBERT-base](https://huggingface.co/api/models/jhu-clsp/mmBERT-base) — получено 2026-09-24
6. [Horizon Labs: исходные результаты оценки Prompt Injection Guard base](https://huggingface.co/Horizon-Labs/prompt-injection-guard-base/blob/bd042c784f110d1e6f0bd42f27233a16e97d2ae8/eval/eval_results.json) — получено 2026-09-24