Galvanize 3
Um classificador multilíngue que sinaliza prompt injection no texto que um agente lê: saída de ferramentas, páginas web, descrições de ferramentas MCP. Seus pesos são abertos no Hugging Face. Desde 23 de outubro de 2026, é o modelo por trás da verificação opcional do zn Cloud. O zn-gate só envia prompts para a verificação na nuvem, e só se você ativar a nuvem; na sua máquina, o zn-gate usa regras determinísticas.
Ficha do modelo
| Tarefa | Classificação binária: prompt injection ou não. Não gera texto. |
|---|---|
| Modelo base | Ajustado a partir do Horizon-Labs/prompt-injection-guard-small (Apache-2.0) |
| Tamanho | Cerca de 140M de parâmetros |
| Entrada | Lê 512 tokens por vez; a API pontua entradas mais longas em janelas sobrepostas. Se você executar o modelo por conta própria, divida entradas mais longas em partes |
| Idiomas | Multilíngue. Os resultados por idioma, e os idiomas ainda não testados, estão na ficha do Hugging Face |
| Limiar | Você o escolhe ao executar o modelo por conta própria; a ficha do modelo mostra como transformar a pontuação em um veredito |
Como avaliamos
Mantemos um conjunto de teste privado que nunca é usado para treinar. Uma taxa de detecção só aparece neste site quando foi medida nesse conjunto, com a data, o dataset e o script que a produziu. O Galvanize 3 não foi treinado nesse conjunto, mas o usamos para escolher o modelo, então leia os números como resultados de desenvolvimento.
Resultados no nosso conjunto de teste privado (3.309 exemplos em vários idiomas) e no nosso conjunto de 658 documentos benignos longos:
| Métrica | Galvanize 3 | Galvanize 2 | Galvanize-60M (anterior) |
|---|---|---|---|
| Taxa de detecção (recall) | 89,6 % | 83,4 % | 66,9 % |
| Taxa de falsos positivos | 0,6 % | 0,81 % | 6,4 % |
| Documentos benignos longos sinalizados | 2,9 % | 4,1 % | ~66 % |
Galvanize 3 no seu limiar de produção; Galvanize 2 no seu limiar de 0,662; Galvanize-60M no seu próprio limiar, 0,95. O benchmark público do Galvanize 2 na pasta benchmark/ no Hugging Face pode ser executado de novo com o seu script. Método no artigo de lançamento · Benchmark público do Galvanize 2 ↗
Pontos fracos e o que ele não detecta
- É uma camada, não uma garantia. Alguns ataques ainda passam, então mantenha o menor privilégio nas ferramentas do seu agente.
- Injeções indiretas e estruturadas, como instruções escondidas em documentos ou dados, são um ponto fraco conhecido.
- Se você executar o modelo por conta própria, só os primeiros 512 tokens de uma entrada são pontuados por passagem: divida entradas mais longas em partes (a API as pontua em janelas).
- Ele pontua cada texto isoladamente: não sabe se uma instrução é legítima para um usuário ou uma tarefa específicos, e ataques divididos entre várias chamadas de ferramentas ou escondidos em imagens, áudio ou arquivos binários ficam fora do escopo.
- Os resultados variam conforme o idioma, e a maioria dos benchmarks públicos é em inglês.
- Não é um filtro de conteúdo (não modera toxicidade, discurso de ódio nem temas) e não protege seus segredos: isso é trabalho da ocultação de segredos do zn-gate.
- Um limiar mais baixo detecta mais e bloqueia mais texto legítimo; um mais alto faz o contrário.
Modelos anteriores: Galvanize 2 e Galvanize-60M
O Galvanize 2 foi o modelo do zn Cloud de 12 a 23 de outubro de 2026, e o Galvanize-60M antes dele. O Galvanize-60M agora é o modelo de contingência automática quando o Galvanize 3 não está disponível, com o seu próprio limiar de 0,95. Os pesos de ambos continuam no Hugging Face sob licença Apache-2.0. Os números do artigo de lançamento do Galvanize-60M de setembro de 2026 vieram de um benchmark próprio, não do nosso conjunto de teste reservado; a comparação acima os substitui.
Use o Galvanize 3
Baixe os pesos do Galvanize 3 e rode você mesmo, ou use a verificação opcional do zn Cloud, que roda o mesmo modelo.