现有防护手段分为三类：检查输入提示词、依赖带标签的动作数据训练分类器、施加几何约束，它们的共同缺陷是没有把场景上下文纳入判断。