promptpurify

LLMチャットアプリ向けの超軽量プロンプトインジェクションファイアウォール。約14MB。CPUのみ。 ユーザー入力とLLMの間にそのまま差し込めるガード——同じマシン上で動作し、 GPU不要、API不要、追加サービス不要。

SecureLayer7 レッドチームが開発。多くの OSSガードレールは数百MB級でGPUを要求し、それでも本番で見られる攻撃を 見逃します。私たちは自社のAI製品や顧客のアプリにそのまま組み込める、 そういった依存の一切ないものを必要としていました。

これが存在する理由

OSSベースラインとのベンチマーク比較 → docs/BENCHMARKS.md

インストール

# SDK（依存ゼロ、約50KB）— 構造的ファイアウォール + ブラウザバンドル
npm i promptpurify

# チャットインジェクションガード用のモデル（約14MBのONNX）を追加
npm i onnxruntime-node
curl -L -o promptpurify-model.tar.gz \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz
curl -L -o promptpurify-model.tar.gz.sha256 \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz.sha256
sha256sum -c promptpurify-model.tar.gz.sha256   # MUST print "OK"
tar xzf promptpurify-model.tar.gz                # creates models/l5e/

モデルはnpmターボールには含まれていません——構造的ファイアウォール（ブラウザ、エッジ、RAG）だけを 使いたい人のためにSDKは小さく保たれています。完全な配布オプション: docs/SAMPLE-DATA.md

3行で組み込めるドロップイン

import { createL5eRunner } from "promptpurify/l5";

const guard = await createL5eRunner();

// /chat ハンドラ内で:
const score = await guard.score(userMessage);
if (score >= 0.95) return refusal();              // ハードブロック
if (score >= 0.85) flagForReview(userMessage);    // アドバイザリ
const reply = await yourLLM.complete(userMessage); // そのまま通過

Groq、OpenAI、Anthropic、vLLM、ローカルLLMで動作します—— promptpurifyがあなたのLLMと通信することはなく、入力に対してのみ作用します。

決定論的構造ファイアウォール（Unicode中和、ロール分離メッセージ、 出力外部持ち出しガード）については docs/QUICKSTART.md を参照してください。

ゼロから構築

既存のOSSガードレールでは、自社製品に搭載したいサイズ/レイテンシのトレードオフを 満たせなかったため、私たちはランダム初期化から独自モデルを構築しました。

• ゼロから構築。 ベンダーの分類器からの教師ウェイトは一切再配布していません。
• 公開データセットでベンチマーク済み。 OSSベースライン（ProtectAI v2、deepset、Meta Prompt-Guard、Meta Prompt-Guard-2）と直接比較。ホールドアウト評価。リコールと並べて偽陽性も報告します。
• MITライセンスのウェイト。 有償・無償を問わず本番利用可能。

全アーキテクチャ概要 → docs/HOW-IT-WORKS.md

突破してみてください

anton.securelayer7.net でライブの敵対的チャレンジを 運営しています。Son of Antonにパスワードを聞いてみてください。ガードをすり抜けて取得できたら、 その方法を教えてください — SECURITY.md

サンプルアプリ

promptpurifyを組み込んだフィンテック顧客サポートチャットボット。ローカルですぐ実行できます:

cd examples/customer-support && npm install
GROQ_API_KEY=gsk_... node server.mjs
# http://localhost:8787

examples/customer-support/README.md を参照してください。

詳細情報

• docs/QUICKSTART.md — インストール手順、構造的ファイアウォール、ブラウザバンドル、統合パターン。
• docs/HOW-IT-WORKS.md — レイヤー構成と、それぞれが捕捉する内容。
• docs/BENCHMARKS.md — OSSベースラインとの比較、方法論。
• docs/SAMPLE-DATA.md — ベンチマーク用にリポジトリに同梱される内容。
• docs/REPRODUCE.md — 自分でベンチマークを実行する方法。
• docs/HONEST-LIMITS.md — 完全なカバレッジのために promptpurify と組み合わせるべきもの。

promptpurify が できない こと

• 保証ではありません。.safe という真偽値は存在しません。
• コンテンツ分類器ではありません。プロンプトインジェクションは検出しますが、毒性 / CSAM / ヘイトは検出しません。コンテンツフィルタと組み合わせてください。
• マルチターン監査ではありません。会話レベルのモニタリングと組み合わせてください。

検証済みリリース

私たちが公開するものはすべて署名され、エンドツーエンドで検証できます:

• npmパッケージ は、この正確なGitHub Actions実行からの npm provenance で署名されています。ローカルで検証:
  root@kitploit:~

  npm audit signatures   # ✓ verified registry signature + provenance attestation
  

• モデルターボール (releases) には、キーレス Sigstore cosign 署名（*.cosign.bundle）、SLSAビルド由来証明書、SHA256マニフェスト、CycloneDX SBOM（SBOM.cdx.json）が含まれています。
• リポジトリ内 models/l5e/SHA256SUMS — すべてのアーティファクトのチェックサムが管理され、すべてのPRでCIにより検証されます。

これらのチェックのいずれかがあなたの環境で失敗した場合、そのパッケージはpromptpurifyではありません — SECURITY.md に従ってセキュリティレポートを提出してください。

謝辞

名前と設計思想は Cure53 による DOMPurify に触発されています—— 同じアイデアをHTMLではなくLLMプロンプトに適用したものです。 名前を提案してくれた Mario Heiderich に感謝します。

ライセンス

SDKとモデルウェイトはMITライセンスです。評価対象のベンチマークソースは training/CORPUS_LICENSES.json に記載されています。

セキュリティ開示: SECURITY.md