语言模型无法可靠区分“数据”和“指令”，因此仅靠提示词建立的安全边界天然脆弱。