promptpurify

Миниатюрный межсетевой экран от инъекций в подсказки для LLM-чат-приложений. ~14 МБ. Только ЦП. Вставляемый защитный слой между пользовательским вводом и вашей LLM — работает на той же машине, без GPU, без API, без дополнительного сервиса.

Создан командой красной команды SecureLayer7. Большинство открытых решений весят сотни МБ, требуют GPU и всё равно пропускают атаки, которые мы видим в продакшене. Нам нужно было что-то, что можно встроить в наши собственные AI-продукты и приложения клиентов без всех этих сложностей.

Зачем это нужно

Сравнение с открытыми решениями → docs/BENCHMARKS.md.

Установка

# SDK (без зависимостей, ~50 КБ) — структурный межсетевой экран + сборка для браузера
npm i promptpurify

# Добавьте модель (~14 МБ ONNX) для защиты от инъекций в чат
npm i onnxruntime-node
curl -L -o promptpurify-model.tar.gz \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz
curl -L -o promptpurify-model.tar.gz.sha256 \
  https://github.com/securelayer7/PROMPTPurify/releases/download/v0.0.1/promptpurify-model.tar.gz.sha256
sha256sum -c promptpurify-model.tar.gz.sha256   # ДОЛЖНО вывести "OK"
tar xzf promptpurify-model.tar.gz                # создаёт каталог models/l5e/

Модель не входит в npm-архив — SDK остаётся крошечным для тех, кому нужен только структурный межсетевой экран (браузер, edge, RAG). Полные варианты распространения: docs/SAMPLE-DATA.md.

Вставка в 3 строки

import { createL5eRunner } from "promptpurify/l5";

const guard = await createL5eRunner();

// В обработчике /chat:
const score = await guard.score(userMessage);
if (score >= 0.95) return refusal();              // жёсткая блокировка
if (score >= 0.85) flagForReview(userMessage);    // предупреждение
const reply = await yourLLM.complete(userMessage); // пропустить

Работает с Groq, OpenAI, Anthropic, vLLM, локальными LLM — promptpurify никогда не обращается к вашей LLM, только к вашему вводу.

Для детерминированного структурного межсетевого экрана (нейтрализация Unicode, сообщения с ролевой оградой, защита от утечки вывода) см. docs/QUICKSTART.md.

Создан с нуля

Мы построили нашу модель с нуля, потому что ни одно существующее открытое решение не давало нам нужного соотношения размера и задержки для встраивания в наши собственные продукты.

• С нуля. Никаких весов учителя от любого вендорского классификатора не распространяется.
• Проверен на публичных наборах данных для прямого сравнения с открытыми решениями (ProtectAI v2, deepset, Meta Prompt-Guard, Meta Prompt-Guard-2). Оценка на удержанных данных; ложные срабатывания указываются вместе с полнотой.
• Веса под лицензией MIT. Используйте в продакшене, платно или бесплатно.

Полное описание архитектуры → docs/HOW-IT-WORKS.md.

Попробуйте взломать

Мы запустили живой соревновательный вызов на anton.securelayer7.net. Спросите у Son of Anton пароль. Если сможете обмануть защиту, расскажите нам — SECURITY.md.

Пример приложения

Чат-бот техподдержки финтех-компании, подключённый к promptpurify, готовый к запуску локально:

cd examples/customer-support && npm install
GROQ_API_KEY=gsk_... node server.mjs
# http://localhost:8787

См. examples/customer-support/README.md.

Читать далее

• docs/QUICKSTART.md — пути установки, структурный межсетевой экран, сборка для браузера, шаблоны интеграции.
• docs/HOW-IT-WORKS.md — уровни защиты и что каждый ловит.
• docs/BENCHMARKS.md — сравнение с открытыми решениями, методология.
• docs/SAMPLE-DATA.md — что входит в репозиторий для бенчмаркинга.
• docs/REPRODUCE.md — запустите тест самостоятельно.
• docs/HONEST-LIMITS.md — с чем сочетать promptpurify для полного покрытия.

Чем promptpurify не является

• Не гарантией. Нет булева .safe.
• Не классификатором контента. Ловит инъекции в подсказки, а не токсичность / CSAM / ненависть. Сочетайте с фильтром контента.
• Не аудитором многораундовых бесед. Сочетайте с мониторингом на уровне разговора.

Проверенные релизы

Всё, что мы выпускаем, подписано и проверяемо от начала до конца:

• npm-пакет подписан с npm provenance именно из этого запуска GitHub Actions. Проверьте локально:
  root@kitploit:~

  npm audit signatures   # ✓ проверенная регистрационная подпись + аттестация происхождения
  

• Архив модели (релизы) содержит бесключевую подпись Sigstore cosign (*.cosign.bundle), аттестацию происхождения сборки SLSA, манифест SHA256 и SBOM CycloneDX (SBOM.cdx.json).
• В репозитории models/l5e/SHA256SUMS — каждый артефакт имеет контрольную сумму; проверяется в CI на каждом PR.

Если любая из этих проверок у вас не проходит, пакет — не promptpurify — сообщите о проблеме в SECURITY.md.

Благодарности

Название и философия дизайна вдохновлены DOMPurify от Cure53 — та же идея, применённая к LLM-подсказкам вместо HTML. Спасибо Mario Heiderich за предложение названия.

Лицензия

MIT для SDK и весов модели. Источники бенчмарков, с которыми мы сравниваем, перечислены в training/CORPUS_LICENSES.json.

Раскрытие уязвимостей: SECURITY.md.