Galvanize 3
一个多语言分类器，用于标记智能体读取的文本中的提示词注入：工具输出、网页、MCP 工具描述。其权重已在 Hugging Face 上开放。自 2026 年 10 月 23 日起，它是 zn Cloud 可选云端检查所用的模型。zn-gate 只会把提示词发给云端检查，且仅在你开启云端时；在你的机器上，zn-gate 使用确定性规则。
模型卡
| 任务 | 二分类：是否为提示词注入。它不生成文本。 |
|---|---|
| 基础模型 | 基于 Horizon-Labs/prompt-injection-guard-small（Apache-2.0）微调 |
| 规模 | 约 140M 参数 |
| 输入 | 每次读取 512 个 token；API 会按重叠窗口对更长的输入打分。如果你自行运行模型，请将更长的输入分块 |
| 语言 | 多语言。各语言的结果以及尚未测试的语言，见 Hugging Face 模型卡 |
| 阈值 | 自行运行模型时由你来选择；模型卡展示了如何将分数转换为判定结果 |
我们如何评估
我们保留一个从不用于训练的私有测试集。只有在该数据集上测得、并附有日期、数据集和生成脚本的检测率，才会出现在本网站上。Galvanize 3 并未在该数据集上训练，但我们用它来选择模型，因此请将这些数据视为开发阶段的结果。
在我们私有的测试集（3,309 条多语言样本）和 658 篇长篇正常文档集上的结果：
| 指标 | Galvanize 3 | Galvanize 2 | Galvanize-60M（上一代） |
|---|---|---|---|
| 检出率（召回率） | 89.6% | 83.4% | 66.9% |
| 误报率 | 0.6% | 0.81% | 6.4% |
| 被误标的长篇正常文档 | 2.9% | 4.1% | ~66% |
Galvanize 3 使用其线上服务阈值；Galvanize 2 使用阈值 0.662；Galvanize-60M 使用其自身阈值 0.95。Hugging Face 上 benchmark/ 目录中的 Galvanize 2 公开基准可以用其中的脚本重新运行。 发布文章中的评测方法 · Galvanize 2 公开基准 ↗
弱点与检测范围之外的内容
- 它只是一层防护，不是保证。它仍会漏掉部分攻击，因此请让智能体的工具保持最小权限。
- 间接注入和结构化注入（例如藏在文档或数据中的指令）是已知弱点。
- 如果你自行运行模型，每次只会对输入的前 512 个 token 打分：更长的输入请分块（API 会按窗口打分）。
- 它孤立地为每段文本打分：无法判断某条指令对特定用户或任务是否合理；分散在多次工具调用中、或藏在图片、音频、二进制文件里的攻击不在检测范围内。
- 结果因语言而异，而大多数公开基准以英语为主。
- 它不是内容过滤器（不做毒性、仇恨言论或话题审核），也不保护你的密钥：那是 zn-gate 密钥脱敏的工作。
- 阈值越低，检出越多，误拦的正常文本也越多；阈值越高则相反。
上一代模型：Galvanize 2 和 Galvanize-60M
2026 年 10 月 12 日至 23 日，zn Cloud 使用的是 Galvanize 2，在此之前是 Galvanize-60M。现在当 Galvanize 3 不可用时，Galvanize-60M 作为自动备用模型，使用其自身阈值 0.95。两者的权重仍以 Apache-2.0 许可证发布在 Hugging Face 上。Galvanize-60M 2026 年 9 月发布文章中的数据来自我们自己的基准，并非在留出测试集上测得；上面的对比结果取代了这些数据。
使用 Galvanize 3
下载 Galvanize 3 的权重自行运行，或使用 zn Cloud 的可选云端检查，两者运行的是同一个模型。