提示注入与信任边界

攻击进入哪里

间接注入藏在检索文档、网页、邮件、工具说明或代码注释里，诱导模型泄漏资料、修改目标或调用危险工具。持久化攻击还可混入摘要和记忆候选，在后续Session重新出现。输入长得像system prompt并不赋予它系统权限。

分层防护

上下文明确标来源、时间与信任等级，外部材料不能直接写入程序性规则。工具能力按当前任务最小化，敏感凭证由网关代持，出网目的地和副作用被独立策略限制。输出验证器检查数据和动作后置条件，不能只问同一个模型“你是否安全”。这些措施降低风险，但没有一个通用字符串过滤器可以证明所有注入都被消除。

容易遗漏的传播

网页摘要可能去掉来源标记；子Agent回报可能把攻击指令包装成“研究建议”；memory合并可能把临时引用固化成偏好。因此来源与信任信息要穿过摘要、委派、记忆和产物，而非仅在最初文档上标一次。对高影响任务，可以要求原文证据和受控重建上下文。

测试方法

组合真实任务、恶意文档、可用工具和跨Session召回，观察是否出现越权动作或外传。同时测合法任务成功与过度拒绝。单轮jailbreak没有成功不代表长期系统安全；红队结果需要绑定模型、harness、工具和策略版本。