Prompt Injection：直接、间接与防御

直接注入来自用户，间接注入藏在网页、邮件、文档、图片 OCR 或工具输出中。攻击目标是让 Agent 忽略原任务、泄露数据或执行越权动作。

模型同时处理指令和数据，难以形成传统安全边界。写“忽略恶意指令”有帮助，但不能替代系统控制。

纵深防御

• 外部内容标为不可信数据，与系统策略分离；
• 只提供当前需要的工具和最小资源范围；
• 参数、收件人、URL、路径和数据目的地由系统校验；
• 写入、发送、购买、删除和密钥访问需要确认；
• 限制网络外传，隔离浏览与代码环境；
• 用对抗文档和跨工具攻击持续红队。

核心原则：内容可以影响答案，但不能自动扩大权限。

关联面试题： S16 间接注入 · T12 恶意 MCP