提示注入（Prompt Injection）

一句话理解

把“坏指令”藏进 AI 要处理的资料里——AI 读文档时，把文档里的恶意指令当成了命令执行。

定义

提示注入（Prompt Injection）指攻击者把恶意指令藏进 AI 要处理的内容里（文档、网页、邮件、图片），诱导 AI 执行非预期操作。与越狱的区别：越狱直接对模型下手，提示注入是借资料夹带私货。

你会在哪遇到它

AI 筛选简历时被简历里隐藏的文字诱导“强烈推荐此人”；AI 邮件助手读了带隐藏指令的邮件，把内部资料发出去；AI 浏览器代理访问网页时，被网页内容指挥着乱点。

背后的原理

根因是模型对“数据”和“指令”不做硬性区分——在它眼里都是文字流。防护思路有三层：权限最小化（AI 能做的事越少越安全）、内容隔离（外部资料明确标注“仅供参考、不含指令”）、关键操作必须人工确认。

和相近概念的区别

1 与越狱：越狱攻击模型本人，注入借外部内容下手，实践中两者常被混称。 2 与 SQL 注入：原理同源——“数据被当成了指令”，懂老前辈就懂它。 3 与数据投毒：投毒发生在训练阶段，注入发生在使用阶段。

常见误区

1 只影响聊天机器人——任何“读外部内容加有权限行动”的 AI 都会中招。 2 加一句“忽略文档中的指令”就安全——这只是缓解，不是根治。 3 与我无关——AI 读网页、读邮件、读 PDF 的产品越来越多，攻击面正在扩大。