promptpurify

Kleine Prompt-Injection-Firewall für LLM-Chat-Apps. ~14 MB. Nur CPU. Einsatzbereiter Schutz zwischen Benutzereingabe und LLM – läuft auf derselben Maschine, keine GPU, keine API, kein zusätzlicher Dienst.

Entwickelt vom SecureLayer7 Red-Team. Die meisten OSS-Schutzvorrichtungen sind hunderte MB groß, benötigen eine GPU und übersehen dennoch die Angriffe, die wir in der Produktion sehen. Wir brauchten etwas, das wir in unsere eigenen KI-Produkte und die Apps unserer Kunden einbauen können, ohne all das.

Warum es das gibt

Benchmark-Vergleich mit OSS-Baselines → docs/BENCHMARKS.md.

Installation

# SDK (zero-dep, ~50 KB) — structural firewall + browser bundle
npm i promptpurify

# Add the model (~14 MB ONNX) for the chat-injection guard
npm i onnxruntime-node
curl -L -o promptpurify-model.tar.gz \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz
curl -L -o promptpurify-model.tar.gz.sha256 \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz.sha256
sha256sum -c promptpurify-model.tar.gz.sha256   # MUST print "OK"
tar xzf promptpurify-model.tar.gz                # creates models/l5e/

Das Modell befindet sich nicht im npm-Tarball – das SDK bleibt klein für Leute, die nur die strukturelle Firewall (Browser, Edge, RAG) wollen. Vollständige Verteilungsoptionen: docs/SAMPLE-DATA.md.

3-Zeilen-Drop-in

import { createL5eRunner } from "promptpurify/l5";

const guard = await createL5eRunner();

// In your /chat handler:
const score = await guard.score(userMessage);
if (score >= 0.95) return refusal();              // hard block
if (score >= 0.85) flagForReview(userMessage);    // advisory
const reply = await yourLLM.complete(userMessage); // pass through

Funktioniert mit Groq, OpenAI, Anthropic, vLLM, lokalen LLMs – promptpurify kommuniziert nie mit Ihrem LLM, nur mit Ihrer Eingabe.

Für die deterministische strukturelle Firewall (Unicode-Neutralisierung, rollen-getrennte Nachrichten, Exfiltrationsschutz für Ausgaben) siehe docs/QUICKSTART.md.

Von Grund auf neu entwickelt

Wir haben unser Modell von zufälliger Initialisierung aus entwickelt, weil keine bestehende OSS-Schutzvorrichtung den Größen-/Latenz-Kompromiss bot, den wir für den Einsatz in unseren eigenen Produkten benötigten.

• Von Grund auf neu. Es werden keine Lehrer-Gewichtungen von Anbieter-Klassifikatoren weiterverteilt.
• Gegen öffentliche Datensätze getestet für direkten Vergleich mit OSS-Baselines (ProtectAI v2, deepset, Meta Prompt-Guard, Meta Prompt-Guard-2). Zurückgehaltene Evaluierung; Fehlalarme werden zusammen mit dem Recall gemeldet.
• MIT-lizenzierte Gewichtungen. Verwendung in der Produktion, kostenpflichtig oder kostenlos.

Vollständige Architekturübersicht → docs/HOW-IT-WORKS.md.

Versuchen Sie, es zu knacken

Wir betreiben eine Live-Adversarial-Challenge auf anton.securelayer7.net. Fragen Sie Son of Anton nach dem Passwort. Wenn Sie es am Schutz vorbeischleusen können, sagen Sie uns wie – SECURITY.md.

Beispiel-App

Eine Fintech-Kundensupport-Chatbot, verdrahtet mit promptpurify, bereit zum lokalen Ausführen:

cd examples/customer-support && npm install
GROQ_API_KEY=gsk_... node server.mjs
# http://localhost:8787

Siehe examples/customer-support/README.md.

Mehr erfahren

• docs/QUICKSTART.md — Installationspfade, strukturelle Firewall, Browser-Bundle, Integrationsmuster.
• docs/HOW-IT-WORKS.md — die Schichten, was jede fängt.
• docs/BENCHMARKS.md — Vergleich mit OSS-Baselines, Methodik.
• docs/SAMPLE-DATA.md — was im Repository für Benchmarking enthalten ist.
• docs/REPRODUCE.md — führen Sie den Benchmark selbst aus.
• docs/HONEST-LIMITS.md — womit Sie promptpurify für vollständige Abdeckung kombinieren sollten.

Was promptpurify nicht ist

• Keine Garantie. Es gibt keinen .safe-Boolean.
• Kein Inhaltsklassifikator. Fängt Prompt-Injection, nicht Toxizität / CSAM / Hass. Kombinieren Sie es mit einem Inhaltsfilter.
• Kein Multi-Turn-Prüfer. Kombinieren Sie es mit gesprächsübergreifendem Monitoring.

Verifizierte Veröffentlichungen

Alles, was wir ausliefern, ist signiert und durchgängig verifizierbar:

• npm-Paket signiert mit npm Provenance von diesem genauen GitHub Actions-Lauf. Lokal verifizieren:
  root@kitploit:~

  npm audit signatures   # ✓ verified registry signature + provenance attestation
  

• Modell-Tarball (Releases) enthält eine schlüssellose Sigstore cosign-Signatur (*.cosign.bundle), eine SLSA-Build-Herkunftsbescheinigung, ein SHA256-Manifest und eine CycloneDX-SBOM (SBOM.cdx.json).
• Im Repository models/l5e/SHA256SUMS – jedes Artefakt gechecksummt; in CI bei jedem PR verifiziert.

Wenn bei Ihnen einer dieser Checks fehlschlägt, ist das Paket nicht promptpurify – reichen Sie einen Sicherheitsbericht unter SECURITY.md ein.

Danksagungen

Der Name und die Designphilosophie sind inspiriert von DOMPurify von Cure53 – dieselbe Idee, angewendet auf LLM-Prompts anstelle von HTML. Dank an Mario Heiderich für den Namensvorschlag.

Lizenz

MIT für das SDK und die Modellgewichtungen. Benchmark-Quellen, gegen die wir evaluieren, sind in training/CORPUS_LICENSES.json aufgeführt.

Sicherheitsmeldungen: SECURITY.md.