在 OWASP 发布的 2025 版 LLM 应用十大安全风险清单中，提示词注入（Prompt Injection）位列第一，是公认的最大安全风险。

提示词注入是指攻击者通过特定输入，改变大模型的预定行为或操纵其输出的漏洞。

其本质是模型无法区分指令与数据，导致恶意内容被误当作指令执行。

提示词注入是操纵模型行为的广义概念。

越狱是其特定形式，指诱导模型完全无视安全协议。

防御上，注入攻击可通过系统提示词和输入过滤缓解。

越狱则需要持续更新模型的底层训练和安全机制来预防。

分为直接注入和间接注入两种类型。

直接注入： 用户直接操作提示词，如直接命令 LLM 忽略规则。间接注入： 攻击者在 LLM 引用的网页或文件中隐藏指令，如多模态图片中隐藏的指令。

提示词注入攻击成功会引发一系列后果。

其严重程度取决于业务上下文以及模型被赋予的袋里权限。

9个典型攻击场景和6个案例如下：

由于生成式 AI 随机性的特质，目前尚未存在能够完美预防提示词注入的绝对方案。

微调与 RAG 也无法根除此漏洞。

防御必须抛弃单点依赖，转向系统级的纵深架构。

其本质是构建一套即使大模型完全被操控，也无法对业务产生实质破坏的坚韧架构。

防御策略：

策略1：限制模型行为在系统提示词中明确模型角色、能力边界，强制要求忽略任何试图修改核心指令的尝试。策略2：输出格式验证定义明确的输出格式，如 JSON，并使用确定性代码验证其合规性。策略3：输入输出过滤应用语义过滤器和字符串检查。引入 RAG 三元组评估，通过检查上下文相关性、地面性（Groundedness）和问题回答相关性来识别恶意输出。策略4：执行最小权限原则为模型提供独立的 API 令牌，将敏感功能封装在确定性代码中执行，而非直接交给模型。策略5：高风险操作的人为审批针对特权操作实施人工干预，确保关键决策须经人工核准方可执行。策略6：隔离外部内容将不可信的外部内容，如网页、文件，与用户提示词进行物理或逻辑上的分离并清晰标记，以减少其对模型指令的干扰。策略7：对抗性测试定期进行红蓝对抗模拟，将模型视为不受信任的攻击者来测试安全边界。

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。原始发表：2026-05-16，如有侵权请联系[email protected] 删除