持久化提示注入的防护还没有形成标准方案，社区做法包括词法扫描、模型判官、来源白名单、输出结构化约束等。