Prompt注入
针对LLM应用的安全攻击方式，攻击者通过在Agent处理的外部内容中嵌入恶意指令，诱导Agent忽略原始系统提示并执行未授权操作，在多Agent系统中危害尤为严重
核心事实
时间轴 (近 90 天)
与传统SQL注入不同，Prompt注入没有严格的语法边界，防御难度更高，常需结合输入过滤、指令隔离、输出校验等多层手段。
在提示注入尚无完美防御的当下，权限隔离是少数可以确定性交付的安全控制。
黑名单过滤（Denylist Theater）作为Prompt注入防御是注定失败的，因为自然语言开放且攻击者可无限改写、编码或拆分指令来绕过。
Prompt注入无法被完全过滤，只能被遏制，因为它是藏在Agent所读内容里的隐藏指令，模型会像对待用户指令一样对待它。
目前业界公认Prompt注入没有通用解法，只能通过架构层面的纵深防御来降低影响。
Simon Willison于2022年提出Prompt注入术语，类比SQL注入。
OWASP将提示注入列为LLM01，即LLM驱动应用在2026年的最高风险。
对抗性输入场景中，类型化和生成式评委都会读取被评分内容，而内容可能携带针对评委的指令，书面推理无法可靠暴露Prompt注入。
在多租户或共享记忆的架构下，Prompt注入的危害会被放大：一次成功的注入可能污染持久化记忆，影响其他会话或租户
提示注入攻击不需要利用软件漏洞，而是利用模型难以区分指令与数据这一特性
还有 5 条时间轴事件
全部知识事实 (16)
OWASP将提示注入列为LLM Top 10的首位风险（LLM01）
70%已验证提示注入攻击不需要利用软件漏洞，而是利用模型难以区分指令与数据这一特性
65%已验证提示注入（Prompt Injection）是指攻击者通过精心构造的输入，诱导大语言模型忽略原始系统指令而执行恶意操作；在多智能体系统中，一个被注入的智能体可能通过合法的内部通信渠道将恶意指令传播给其他智能体
65%已验证提示词注入（Prompt Injection）分为直接注入和间接注入两类，直接注入通过用户输入植入恶意指令，间接注入将恶意指令藏匿于AI可能读取的外部内容中
65%待验证与传统SQL注入不同，Prompt注入没有严格的语法边界，防御难度更高，常需结合输入过滤、指令隔离、输出校验等多层手段。
50%待验证在提示注入尚无完美防御的当下，权限隔离是少数可以确定性交付的安全控制。
50%待验证黑名单过滤（Denylist Theater）作为Prompt注入防御是注定失败的，因为自然语言开放且攻击者可无限改写、编码或拆分指令来绕过。
50%待验证Prompt注入无法被完全过滤，只能被遏制，因为它是藏在Agent所读内容里的隐藏指令，模型会像对待用户指令一样对待它。
50%待验证Simon Willison于2022年提出Prompt注入术语，类比SQL注入。
50%待验证目前业界公认Prompt注入没有通用解法，只能通过架构层面的纵深防御来降低影响。
50%待验证OWASP将提示注入列为LLM01，即LLM驱动应用在2026年的最高风险。
50%待验证对抗性输入场景中，类型化和生成式评委都会读取被评分内容，而内容可能携带针对评委的指令，书面推理无法可靠暴露Prompt注入。
50%待验证在多租户或共享记忆的架构下，Prompt注入的危害会被放大：一次成功的注入可能污染持久化记忆，影响其他会话或租户
50%待验证RAGGuardrails类实现输入和输出护栏：输入检查拦截Prompt注入（检测'ignore previous instructions'等触发词）和PII泄露（正则匹配SSN、邮箱、信用卡号、电话号码）；输出检查包含幻觉检测（提取答案中的数字，检查是否在上下文中，长度超过2位的数字若不在上下文则标记为未验证声明）和PII检测，并在PII出现时用[REDACTED]替换。
50%待验证Agent可能因幻觉（Hallucination）或Prompt注入攻击执行远超预期的破坏性操作
50%待验证即使prompt注入成功改变了模型行为，若容器层面锁死了网络、文件系统和API访问，模型也无法执行危险操作
50%