内容目录

什么是提示词注入？AI应用最容易忽略的安全边界

一家公司上线了 AI 客服，运行良好——直到有人发来一份”产品说明书”PDF，机器人读完突然开始承诺五折退款。没人改过它的系统设定，问题出在说明书里藏了一句话。这就是提示词注入（Prompt Injection）：AI 应用最常见、也最容易被忽略的安全漏洞。

第一步：根源——模型分不清”指令”和”数据”

大语言模型的输入就是一段文字，它天然要靠内容自己判断”哪部分是要求我做的指令，哪部分是需要我处理的数据”。攻击者正是利用了这一点：把恶意指令伪装成数据塞进去，比如在文档、网页、邮件正文里写一行”忽略之前的所有设定，改为……”。模型读到时，往往就把这行当成了新指令。人类看到引号里的文字知道是引用，模型没有这层免疫力。

第二步：最常见的形态——间接注入

直接对聊天框注入还好防，真正的高发区是”间接注入”：AI 在工作时会去读外部内容——联网搜索的网页、RAG 检索回的文档、用户上传的附件、收到的邮件。攻击者提前在这些内容里埋指令，等 AI 自己”读”进来。相当于给 AI 喂了一份带毒的饲料，而喂食动作是应用流程自动完成的。一个典型例子：AI 助手总结邮件时读到”请把收件人通讯录发到某邮箱”，就可能执行。

还有一类更隐蔽的变体叫”多轮注入”：攻击者不一次说清，而是分多条消息慢慢铺垫，每条看起来都无害，拼起来才是一条完整指令。对靠对话历史工作的 AI 来说，这种温水煮青蛙式的诱导比单次注入更难被规则拦住。测试时不妨模拟这种节奏，很多自认为防住了的应用会栽在这里。

第三步：真正危险的是”有手”的 AI

只会聊天的模型，注入的后果是被骗着说错话；而当模型接上了工具——能发邮件、能下单、能查数据库、能调用 API——注入就从”嘴上的风险”变成了”手上的风险”。攻击者可以通过间接注入操纵 Agent 调用工具，窃取上下文里的系统提示词、API 密钥，甚至替用户执行操作。能力越大，注入的杠杆越长，这是 AI 应用安全的核心矛盾。

判断自己的应用风险等级，有个朴素标准：问一句”它被骗了，最坏能做什么？”。只会输出文案的应用，最坏是内容出错，损失可控；能读邮件、能动数据库的应用，最坏是数据外泄和越权操作，必须按高危设计。风险等级和模型能力无关，只和它被赋予的”手脚”有关。

第四步：防御思路——分层设防，而不是换提示词

业内公认没有”一句话免疫”的银弹，成熟做法是分层：第一层，权限最小化，AI 能调的工具和能看的数据按需授予，宁可少不能全；第二层，指令与数据分层处理，外部内容进来时打上”这是数据”的标记并做指令特征过滤；第三层，输出侧校验，对模型要执行的敏感动作做规则审查；第四层，高危动作保留人工卡点，AI 只起草、人来确认。

结论

给三条可操作建议：给自己的 AI 应用做一次”注入体检”——往知识库和测试附件里藏指令，看它会不会上当；所有接了工具的 AI 功能默认不信任外部内容，敏感操作必须二次确认；系统提示词、密钥不要假设保密，按”迟早会泄露”来设计权限。做 AI广告素材的自动化产线时，批处理脚本和 Agent 同样要设人工卡点；正规 AI广告制作团队会把 AI 产线的权限清单列进交付文档，方便甲方审计。