promptpurify

Firewall minúsculo contra injeção de prompt para aplicativos de chat com LLM. ~14 MB. Somente CPU. Protetor plugável entre sua entrada de usuário e seu LLM — roda na mesma máquina, sem GPU, sem API, sem serviço extra.

Construído pela SecureLayer7 red-team. A maioria das proteções OSS tem centenas de MB, querem GPU e ainda assim perdem os ataques que vemos em produção. Precisávamos de algo que pudéssemos enviar dentro de nossos próprios produtos de IA e dos aplicativos de nossos clientes sem nada disso.

Por que isso existe

Comparação de benchmark com baselines OSS → docs/BENCHMARKS.md.

Instalação

# SDK (zero-dep, ~50 KB) — firewall estrutural + bundle para navegador
npm i promptpurify

# Adiciona o modelo (~14 MB ONNX) para o guarda de injeção de chat
npm i onnxruntime-node
curl -L -o promptpurify-model.tar.gz \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz
curl -L -o promptpurify-model.tar.gz.sha256 \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz.sha256
sha256sum -c promptpurify-model.tar.gz.sha256   # DEVE imprimir "OK"
tar xzf promptpurify-model.tar.gz                # cria models/l5e/

O modelo não está no tarball npm — o SDK permanece pequeno para quem só quer o firewall estrutural (navegador, edge, RAG). Opções completas de distribuição: docs/SAMPLE-DATA.md.

Inserção em 3 linhas

import { createL5eRunner } from "promptpurify/l5";

const guard = await createL5eRunner();

// No seu handler /chat:
const score = await guard.score(userMessage);
if (score >= 0.95) return refusal();              // bloqueio rígido
if (score >= 0.85) flagForReview(userMessage);    // consultivo
const reply = await yourLLM.complete(userMessage); // passagem direta

Funciona com Groq, OpenAI, Anthropic, vLLM, LLMs locais — promptpurify nunca fala com seu LLM, apenas com sua entrada.

Para o firewall estrutural determinístico (neutralização Unicode, mensagens com delimitação de função, guarda de exfiltração de saída) veja docs/QUICKSTART.md.

Construído do zero

Construímos nosso modelo a partir de inicialização aleatória porque nenhuma proteção OSS existente nos deu o tradeoff de tamanho / latência que queríamos para enviar em nossos próprios produtos.

• Do zero. Nenhum peso de professor de qualquer classificador de fornecedor é redistribuído.
• Avaliado em comparação com conjuntos de dados públicos para comparação direta com baselines OSS (ProtectAI v2, deepset, Meta Prompt-Guard, Meta Prompt-Guard-2). Avaliação com dados não vistos; falsos positivos reportados juntamente com a revocação.
• Pesos sob licença MIT. Use em produção, pago ou gratuito.

Visão geral da arquitetura completa → docs/HOW-IT-WORKS.md.

Tente quebrá-lo

Executamos um desafio adversarial ao vivo em anton.securelayer7.net. Pergunte ao Filho de Anton pela senha. Se você conseguir passar pela proteção, conte-nos como — SECURITY.md.

Aplicativo de exemplo

Um chatbot de suporte ao cliente fintech configurado com promptpurify, pronto para executar localmente:

cd examples/customer-support && npm install
GROQ_API_KEY=gsk_... node server.mjs
# http://localhost:8787

Veja examples/customer-support/README.md.

Leia mais

• docs/QUICKSTART.md — caminhos de instalação, firewall estrutural, bundle para navegador, padrões de integração.
• docs/HOW-IT-WORKS.md — as camadas, o que cada uma captura.
• docs/BENCHMARKS.md — comparação com baselines OSS, metodologia.
• docs/SAMPLE-DATA.md — o que vem no repositório para benchmarking.
• docs/REPRODUCE.md — execute o benchmark você mesmo.
• docs/HONEST-LIMITS.md — com o que emparelhar promptpurify para cobertura total.

O que promptpurify não é

• Não é uma garantia. Não há um booleano .safe.
• Não é um classificador de conteúdo. Captura injeção de prompt, não toxicidade / CSAM / ódio. Emparelhe com um filtro de conteúdo.
• Não é um auditor multitorneio. Emparelhe com monitoramento em nível de conversa.

Lançamentos verificados

Tudo o que enviamos é assinado e verificável de ponta a ponta:

• Pacote npm assinado com npm provenance a partir desta execução exata do GitHub Actions. Verifique localmente:
  root@kitploit:~

  npm audit signatures   # ✓ assinatura de registro verificada + atestado de proveniência
  

• Tarball do modelo (releases) carrega uma assinatura Sigstore cosign sem chave (*.cosign.bundle), um atestado de proveniência de build SLSA, um manifesto SHA256 e um SBOM CycloneDX (SBOM.cdx.json).
• No repositório models/l5e/SHA256SUMS — todos os artefatos com checksum; verificado no CI em cada PR.

Se alguma dessas verificações falhar no seu lado, o pacote não é promptpurify — registre um relatório de segurança em SECURITY.md.

Agradecimentos

O nome e a filosofia de design são inspirados por DOMPurify por Cure53 — a mesma ideia, aplicada a prompts de LLM em vez de HTML. Agradecimentos a Mario Heiderich por sugerir o nome.

Licença

MIT para o SDK e os pesos do modelo. As fontes de benchmark que avaliamos estão listadas em training/CORPUS_LICENSES.json.

Divulgações de segurança: SECURITY.md.