提示注入没有可靠的‘检测后阻断’方案，因为很难判断一段文本是普通描述还是恶意指令，对模型而言两者形式上一致；隔离和权限控制比内容过滤更现实。