仅靠输入过滤难以穷尽防御间接提示注入，因为合法文档中可以自然嵌入看似合理的指令；更可靠的做法是承认被读取内容不可信，并在工具调用边界上限制其能触发的后续操作。