提示注入难以用传统防火墙防御，因为它不依赖代码漏洞，而是利用模型对自然语言指令的服从倾向，攻击面与正常功能输入完全重合。