提示注入防御通常分两层：模型层的检测与过滤（如反注入提示段），以及系统层的权限收窄（如运行时隔离），后者不依赖模型判断，因而更可靠。