提示注入是上下文中的不可信内容（如网页、邮件中的指令）导致的，模型没有可靠办法区分指令和数据，这是一切都只是同一个窗口里的token的直接后果。