promptpurify

Pare-feu anti-injection par prompts pour applications de chat LLM. ~14 Mo. CPU uniquement. Protection intégrée entre votre saisie utilisateur et votre LLM — s'exécute sur la même machine, sans GPU, sans API, sans service supplémentaire.

Construit par l'équipe rouge de SecureLayer7. La plupart des barrières de sécurité open source pèsent des centaines de Mo, nécessitent un GPU, et ratent encore les attaques que nous voyons en production. Nous avions besoin de quelque chose que nous pourrions embarquer dans nos propres produits IA et les applications de nos clients sans tout cela.

Pourquoi cela existe

Comparaison de performance par rapport aux baselines open source → docs/BENCHMARKS.md.

Installation

# SDK (zéro dépendance, ~50 Ko) — pare-feu structurel + bundle navigateur
npm i promptpurify

# Ajouter le modèle (~14 Mo ONNX) pour la protection anti-injection de chat
npm i onnxruntime-node
curl -L -o promptpurify-model.tar.gz \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz
curl -L -o promptpurify-model.tar.gz.sha256 \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz.sha256
sha256sum -c promptpurify-model.tar.gz.sha256   # DOIT afficher "OK"
tar xzf promptpurify-model.tar.gz                # crée models/l5e/

Le modèle n'est pas dans l'archive npm — le SDK reste léger pour ceux qui ne veulent que le pare-feu structurel (navigateur, edge, RAG). Options de distribution complètes : docs/SAMPLE-DATA.md.

Intégration en 3 lignes

import { createL5eRunner } from "promptpurify/l5";

const guard = await createL5eRunner();

// Dans votre gestionnaire /chat :
const score = await guard.score(userMessage);
if (score >= 0.95) return refusal();              // blocage strict
if (score >= 0.85) flagForReview(userMessage);    // avis
const reply = await yourLLM.complete(userMessage); // passage direct

Fonctionne avec Groq, OpenAI, Anthropic, vLLM, LLMs locaux — promptpurify ne communique jamais avec votre LLM, seulement avec votre entrée.

Pour le pare-feu structurel déterministe (neutralisation Unicode, messages cloisonnés par rôle, protection contre l'exfiltration de sortie) voir docs/QUICKSTART.md.

Construit à partir de zéro

Nous avons construit notre modèle à partir d'une initialisation aléatoire car aucune barrière de sécurité open source existante ne nous offrait le compromis taille / latence dont nous avions besoin pour l'embarquer dans nos propres produits.

• De zéro. Aucun poids enseignant provenant d'un classifieur d'un fournisseur n'est redistribué.
• Évalué sur des ensembles de données publics pour une comparaison directe avec les baselines open source (ProtectAI v2, deepset, Meta Prompt-Guard, Meta Prompt-Guard-2). Évaluation sur données retenues ; les faux positifs sont rapportés en même temps que le rappel.
• Poids sous licence MIT. Utilisation en production, payante ou gratuite.

Vue d'ensemble de l'architecture → docs/HOW-IT-WORKS.md.

Essayez de le casser

Nous organisons un défi adversarial en direct sur anton.securelayer7.net. Demandez le mot de passe à Son of Anton. Si vous pouvez le faire passer outre la protection, dites-nous comment — SECURITY.md.

Exemple d'application

Un chatbot de support client fintech équipé de promptpurify, prêt à être exécuté localement :

cd examples/customer-support && npm install
GROQ_API_KEY=gsk_... node server.mjs
# http://localhost:8787

Voir examples/customer-support/README.md.

En savoir plus

• docs/QUICKSTART.md — chemins d'installation, pare-feu structurel, bundle navigateur, modèles d'intégration.
• docs/HOW-IT-WORKS.md — les couches, ce que chacune intercepte.
• docs/BENCHMARKS.md — comparaison avec les baselines open source, méthodologie.
• docs/SAMPLE-DATA.md — ce qui est livré dans le dépôt pour les benchmarks.
• docs/REPRODUCE.md — exécutez le benchmark vous-même.
• docs/HONEST-LIMITS.md — avec quoi associer promptpurify pour une couverture complète.

Ce que promptpurify n'est pas

• Pas une garantie. Il n'y a pas de valeur booléenne .safe.
• Pas un classifieur de contenu. Il détecte l'injection de prompt, pas la toxicité / CSAM / haine. Associer avec un filtre de contenu.
• Pas un auditeur multi-tours. Associer avec une surveillance au niveau de la conversation.

Versions vérifiées

Tout ce que nous livrons est signé et vérifiable de bout en bout :

• Package npm signé avec npm provenance à partir de cette exécution exacte GitHub Actions. Vérifiez localement :
  root@kitploit:~

  npm audit signatures   # ✓ signature de registre vérifiée + attestation de provenance
  

• Archive du modèle (releases) contient une signature Sigstore cosign sans clé (*.cosign.bundle), une attestation de provenance de build SLSA, un manifeste SHA256, et une SBOM CycloneDX (SBOM.cdx.json).
• Dans le dépôt models/l5e/SHA256SUMS — chaque artefact est haché ; vérifié dans le CI à chaque PR.

Si l'une de ces vérifications échoue de votre côté, le paquet n'est pas promptpurify — signalez un problème de sécurité dans SECURITY.md.

Remerciements

Le nom et la philosophie de conception sont inspirés par DOMPurify de Cure53 — la même idée, appliquée aux prompts LLM au lieu du HTML. Merci à Mario Heiderich pour avoir suggéré le nom.

Licence

MIT pour le SDK et les poids du modèle. Les sources de benchmark que nous évaluons sont listées dans training/CORPUS_LICENSES.json.

Divulgations de sécurité : SECURITY.md.