间接提示注入攻击：AI代理的隐秘风险与防御策略

大多数安全团队仍在加固提示词和沙箱模型，但真正的攻击面在别处。间接提示注入（Indirect Prompt Injection）将恶意指令藏于代理在合法任务中检索的内容里——一份PDF、一封邮件、一张客服工单或一个网页。代理读取内容、处理内嵌指令并执行，而这一系列动作看起来完全正常：没有异常登录、没有可疑二进制文件，只是代理在按指令行事——但下达指令的是从未直接接触系统的攻击者。

攻击如何运作：从内容到执行

间接提示注入的核心在于利用代理对外部内容的信任。当代理为完成总结文档、处理邮件等任务而读取外部内容时，攻击者将恶意指令嵌入其中。代理无法区分内容中的数据与指令，于是执行恶意操作。

已记录在案的后果包括：代理将数据外泄至外部端点、调用未经授权的API、在下游系统中冒充用户。这些都不是边缘案例，而是真实发生的攻击。

提示注入与间接提示注入的区别

直接提示注入（Direct Prompt Injection）由用户在与模型交互时直接输入恶意指令，攻击路径短、可见性高，用户输入过滤和系统提示词加固对此有一定效果。间接提示注入则把攻击面从“对话输入”扩展到“代理读取的一切内容”：攻击者不接触模型，而是污染代理在合法任务中检索的文档、邮件或网页，让恶意指令随数据一起进入上下文。由于大语言模型在同一个上下文中处理“数据”与“指令”，缺乏天然的类型隔离，模型往往无法可靠区分“这是要总结的内容”和“这是要执行的命令”。这也是间接注入更难检测的根本原因：恶意载荷在进入模型前与正常内容无异。

为什么传统防御失效

传统防御手段如审计用户输入、收紧系统提示词、限制模型能力，均针对代理本身。但间接提示注入发生在检索内容之后——此时所有针对输入的检查已经运行完毕。攻击者从未直接接触系统，恶意指令通过合法内容渠道进入，绕过了所有前置防线。

更重要的是，代理在执行恶意指令时，行为与正常操作无异。没有异常登录、没有可疑文件，后置的日志和告警在损害造成后才触发，此时攻击已完成。

最小权限原则在代理场景中的含义

最小权限原则（Principle of Least Privilege）指每个主体只应拥有完成当前任务所必需的最小权限。在代理系统中，这意味着代理不应持有可读写全部数据、调用任意API的长期高权限凭证，而应按任务动态授予细粒度、短时效的权限。例如，一个负责总结文档的代理不应同时具备发送邮件或访问支付接口的能力；需要外部调用时，应通过受限的工具网关并附带用户确认。这样即使恶意指令成功进入上下文，代理可造成的实际损害也被权限边界限制，从而把“指令被劫持”与“严重后果”解耦。

生产环境中的防御姿态

对于核心工作流涉及读取外部内容（文档、邮件、网页）的生产代理，防御必须覆盖内容检索后的环节。这包括：对检索内容进行指令检测与净化、实施最小权限原则限制代理可执行的操作、监控代理行为异常（如非预期的外部调用）、以及建立内容来源的信任分级。

但关键在于，架构图上的防御不等于实际防御。安全团队需要回答：在实时系统中，当恶意指令随内容进入时，你的代理会做什么？

内容来源信任分级与指令检测的实践思路

内容来源信任分级是指按来源可靠性对进入代理上下文的内容赋予不同信任等级，例如内部系统生成的结构化数据可信度较高，外部网页和陌生邮件可信度较低。低信任内容可被标记、隔离或在进入模型前做净化处理，并禁止其触发高风险工具调用。指令检测则是在检索内容进入上下文前识别疑似命令式语句、越权请求或异常外泄目标，可采用规则匹配与分类模型结合的方式，并保留人工复核通道。两者都只能降低风险而非彻底消除，因此需要与最小权限和行为监控组合使用，形成纵深防御。

关键要点

• 间接提示注入利用代理对检索内容的信任，将恶意指令藏于PDF、邮件等合法内容中。
• 攻击后果包括数据外泄、未授权API调用和用户冒充，且代理行为看似正常。
• 传统防御（提示词加固、模型沙箱）在检索内容后失效，因为恶意指令绕过了前置检查。
• 生产环境防御需覆盖内容检索后环节，包括指令检测、权限限制和行为监控。