ILION is een ontwerp voor een veiligheidscontrole tussen een AI-agent en de systemen die hij kan gebruiken, in februari 2026 gepubliceerd door de onafhankelijke onderzoeker Florin Adrian Chitan. Voordat de agent iets doet, bijvoorbeeld klantgegevens exporteren, vergelijkt ILION die actie met de taakomschrijving van de agent en blokkeert haar als ze niet overeenkomen. Het is het ontwerp van één onderzoeker, getest op een benchmark die hij zelf maakte.
Waarom een aparte controle voor acties?
Een AI-agent doet dingen: hij roept tools aan, wijzigt bestanden en verstuurt gegevens. Contentfilters zoals de OpenAI Moderation API of Llama Guard van Meta beoordelen of tekst schadelijk is, bijvoorbeeld gewelddadig of haatdragend. Het paper van Chitan wijst erop dat een schadelijke actie in onschuldige woorden kan staan. De opdracht om alle klantgegevens naar een externe opslagbucket te exporteren komt langs elk contentfilter, en in zijn voorbeeld wordt een agenda-agent tot zo'n export overgehaald door instructies die in een agenda-uitnodiging verstopt zitten, een vorm van prompt injection. Hij noemt de taak een execution gate: vóór elke actie beslissen of die binnen de bevoegdheden van de agent valt.
Hoe werkt het?
De poort krijgt twee teksten: de rolomschrijving van de agent en de voorgestelde actie. Woordenlijsten zetten beide om in scores op 21 kenmerken, zoals lezen, schrijven, verwijderen, exporteren, intern en extern, met aparte lijsten voor acht aanvalscategorieën, van prompt injection tot het weglekken van data. Daarna volgen drie toetsen: hoe ver de actie van de rol afdrijft, hoe goed de twee overeenkomen (cosinusgelijkenis), en of een aanvalscategorie boven een drempel uitkomt. Slaat één toets aan, dan is het oordeel BLOCK; anders ALLOW.
Er zit geen neuraal netwerk in en er is geen trainingsdata. De drempels zijn afgesteld op 20 ontwikkelscenario's, en de code gebruikt alleen Python en NumPy. Dezelfde invoer geeft daardoor altijd hetzelfde oordeel; dat bedoelt het paper met deterministisch.
Wat lieten de tests zien?
ILION-Bench v2, de eigen benchmark van de auteur, heeft 380 testscenario's: 190 legitieme acties en 190 aanvallen. ILION haalde een F1-score (een balans tussen gevangen aanvallen en terechte blokkades) van 0,8515, met een precisie van 91,0% en 7,9% vals alarm, bij een gemiddelde vertraging van 143 microseconden. Lakera Guard, een commerciële dienst, haalde 0,8087 maar blokkeerde 29,5% van de legitieme acties. De OpenAI Moderation API ving 12 van de 190 aanvallen en Llama Guard 3 er één; de auteur merkt op dat die tools niet voor deze taak zijn gemaakt. Het "2000 keer sneller" uit de samenvatting vergelijkt ILION op een lokale processor met de 293 milliseconden van Lakera Guard via internet.
Wat zijn de grenzen?
Het paper noemt ze zelf:
- Elke actie wordt los beoordeeld, dus een aanval die over meerdere beurten is verspreid, valt niet op.
- De woordenlijsten kennen alleen aanvallen die bekend waren toen ze werden gemaakt, en een aanvaller die ze kent, kan de gemarkeerde woorden vermijden. Eén op de vijf aanvallen in de benchmark kwam erdoor.
- Bij 7,9% vals alarm wordt ongeveer één op de 13 legitieme acties geblokkeerd.
- Eén auteur schreef alle scenario's; het paper vraagt om onafhankelijke red-teaming.
De code staat op GitHub onder een niet-commerciële licentie (CC BY-NC-ND 4.0), met een aparte commerciële licentie, en op de methode loopt een octrooiaanvraag in Roemenië. Controles voordat een agent handelt, zijn één soort guardrail. OpenAI schreef in maart 2026 zulke controles te willen onderzoeken voor zijn eigen coding-agents, zoals het artikel over agents die hun operators lijken te verraden beschrijft.