Prompt注入纵深防御体系完整梳理

一、问题核心根源

1. 底层缺陷
大模型仅将全部输入视为连续Token流，不存在天然边界区分系统指令、用户输入、外部检索数据，无法自主识别“指令”和“纯数据”。
2. 攻击形态迭代
传统直接输入式注入防御手段已失效，Agent时代主流风险为间接Prompt注入：恶意指令埋藏在RAG知识库文档、网页素材、工具返回内容，模型检索读取后自动执行，隐蔽性极强；仅投放少量恶意文档即可劫持模型行为。
3. 传统方案短板
单纯依靠提示词约束、关键词屏蔽无法根治，攻击者可通过字符伪装、分段嵌套绕过限制。

二、核心防护思路：四层纵深防御

核心设计理念：不追求100%拦截注入，假设注入必然发生，通过多层限制缩小攻击爆炸半径，即使被攻破也无法产生实质损失。

第一层：输入侧 - 隔离+检测

1. 结构隔离
所有外部不可信内容统一划分独立数据区块，和系统指令物理拆分，同时显式告知模型该区块仅为参考数据、不可当作命令执行，杜绝恶意内容污染系统提示上下文。
2. 内容检测
部署专用安全分类器/轻量安全模型，扫描所有外部入库、检索内容，拦截隐藏诱导指令、伪装系统消息、隐形字符等攻击载荷。

第二层：模型侧 - 原生鲁棒性增强

1. 对抗训练：训练阶段投喂海量间接注入、嵌套指令攻击样本；
2. 安全强化学习：模型识别并拒绝恶意指令时给予正向奖励，将安全识别能力固化为模型本能；
3. 固有局限：仅能降低攻击成功率，无法完全杜绝绕过，不能作为唯一防御手段。

第三层：执行侧（最关键层）- 约束操作边界

1. 最小权限原则：工具、接口、数据访问严格白名单，仅开放业务必需资源；
2. 高风险操作阻断：转账、删库、代码执行、批量修改等不可逆动作，强制人工复核或隔离沙箱运行，禁止Agent自主执行；
3. 读写分离：读取外部不可信数据的Agent仅分配读权限，所有写操作交由未接触外部污染内容的独立组件处理。

第四层：输出侧 - 过滤+全链路观测

1. 输出过滤：拦截模型输出内的隐私敏感数据、用于数据回传的恶意外链；
2. 完整可观测日志：记录全部外部文档引入、每一次工具调用、模型指令执行链路，安全事故发生后可精准溯源攻击来源；
3. 底层逻辑：无日志=不可管控，可追溯是安全运维的基础。

三、标准面试结构化答题模板

1. 根因：Prompt注入本质是大模型无指令/数据边界区分能力，当前主要风险是藏于知识库、网页的间接注入，简单提示词约束无法防御。
2. 四层纵深防护
- 输入：不可信内容做结构隔离，搭配安全模型检测恶意载荷；
- 模型：对抗训练+安全强化学习提升鲁棒性，但无法完全杜绝攻击；
- 执行（核心）：最小权限、高风险操作人工确认、读写分离，控制攻击影响范围；
- 输出：敏感信息过滤，全链路日志留存用于事后溯源。
3. 总结：AI安全不能寄希望于完全拦截注入，防御目标是做好多层隔离与权限约束，即便注入成功，也不会造成业务、资产损失。

大模型安全 Prompt注入防御 AI Agent安全 RAG安全 AI面试知识点 AI安全漏洞 AI代码审查 代码安全漏洞 oauth漏洞 量化开发面试 AI代码投毒 OA安全