让 AI 总结一个网页，它却把网页里夹带的指令也执行了——这类问题叫提示词注入，是大模型应用里很典型的一类安全隐患。它危险的原因很根本：模型面对「用户指令」和「待处理内容」时，看到的是同一种东西——文字，两者之间没有天然的防火墙。本文只从防御角度讲：攻击面在哪里、为什么难以根治、开发者和用户各自怎么设防。
攻击面在哪：AI 每读一份外部内容，就多一个入口
注入的风险点和 AI 的「阅读能力」直接相关。凡是能让模型读取外部内容的功能——网页摘要、邮件整理、文档问答、评论区互动——都可能被利用：有人把指令性的文字放进模型要读的内容里，模型处理到这段文字时，可能把它当成新的任务指令来执行。这就是常说的间接注入，也是几类途径里后果偏重的一种：它不需要攻击者和用户直接接触，一段被模型读到的文字就够了。能读的内容越杂、能调用的工具越多，暴露的面就越大。
为什么难根治：指令和内容本质上是同一种东西
开发者防不住它的根源在于，模型区分「该执行的指令」和「该阅读的内容」靠的是上下文线索，而非一个可靠的内在边界——两者在技术上都是文字序列，角色只由位置和格式暗示。所以业界的共识是降低风险而非承诺安全：任何声称「彻底挡住注入」的方案都值得怀疑。能做的是层层设防，把出事的概率和后果同时压下来。
开发者怎么防：五道设防
实践中比较有效的做法集中在五个方向。一是权限最小化，只给模型完成当前任务必需的工具和访问范围。二是敏感操作强制人工确认，转账、发邮件、删除文件这类动作不允许全自动执行。三是内容隔离，把外部内容标记为「数据」而非「指令」再交给模型，配合输出侧检查，看模型是否要执行计划外的动作。四是把注入场景写进安全测试，每次更新提示词或更换模型后跑一遍，提示的回归测试怎么做提供了可复用的流程。五是日志留存，出问题时能回溯模型读到过什么、执行过什么。
用户怎么识别：盯住行为异常
普通用户的防重点不在技术，在行为。模型突然要做你没要求的事、突然追问敏感信息、突然要往外部地址发送内容，这些信号出现时立即停下当前会话。涉及账户、付款、个人证件的操作，一律自己手动完成，不让 AI 代理。另外，来路不明的套壳应用可能在模型之外加自己的处理，入口本身就要审，认准官方入口为什么重要讲了怎么甄别。对「AI 能读网页、读邮件、读文件」的功能保持警觉，读得越多，注入面越大。
会话历史也值得翻一翻：如果模型引用了你没有提供过的内容，或者语气、任务突然变了，往前翻几轮往往能看到异常的来源，截图留存后再删除会话比较稳妥。
防御的边界：风险与能力同源
要接受一个事实：注入无法被一次性消除，因为它源于模型赖以工作的同一个特性——把文字当指令。能力越强的智能体，能读的内容越多、能用的工具越多，需要的设防层数就越多。想理解文字进入模型之后如何被处理，可以看文字怎么进入模型的机制说明，有助于判断风险点落在哪里。选型时把「是否支持敏感操作确认、是否有权限控制」当成和价格同级的考量项，比事后补救划算。
制度层面还有两件事值得做。一是给团队定预案：出现疑似注入事件时，谁负责停服务、谁负责排查日志、要不要通知受影响的用户，写在流程里而不是临场决定。二是默认收紧：联网读取、文件访问、对外发送这类能力，产品里默认关闭，用户明确开启才生效，把选择权交给用户，也把暴露面降到最小。
| 使用场景 | 主要风险点 | 防护做法 |
|---|---|---|
| 网页与文档摘要 | 页面或文档里夹带的指令性文字被模型执行 | 关闭不必要的联网阅读功能，摘要结果再核对一遍 |
| 邮件与消息整理 | 邮件正文中的文字影响模型后续行为 | 让模型只输出摘要，不给它发送、删除类权限 |
| 智能体自动操作 | 计划外的动作被自动执行 | 敏感操作全部设置人工确认，保留操作日志 |
| 第三方入口 | 入口本身被加料或记录对话 | 只用官方渠道，敏感账户不接入非官方应用 |
提示词注入防护速查
- 风险随「模型能读什么、能做什么」同步扩大
- 指令与内容没有天然边界，防御靠多层设防
- 开发者五件事：最小权限、人工确认、内容隔离、回归测试、日志留存
- 用户三件事：盯异常行为、敏感操作手动做、只用官方入口
- 没有一次性的根治方案，能力越强越要多设一道确认
