仅通过系统提示词实现'数据与指令分离'不足以防御提示注入；随着模型规模增大和上下文变长，模型反而更倾向于遵循数据中的指令。