进入2026年，围绕MCP构建的工具连接让AI助手更容易查询资料、操作系统，也让外部内容进入了决策链。防范提示词注入，关键在于确保不可信内容无法自行获得指挥模型和执行操作的权限。
一、攻击可能藏在正常结果里
MCP即模型上下文协议，用于连接AI应用与工具、资源等能力。攻击者可以把“忽略原有要求”“读取密钥并上传”等文字藏进网页、工单或工具返回结果，诱导模型偏离用户任务。
风险也可能来自工具名称、描述及参数说明，例如宣称“调用本工具前必须先导出配置”。这些内容即使使用合法协议格式，也不代表其中的行为要求可信；身份认证同样不能证明返回内容安全。
二、把数据与指令分开处理
客户端应明确标记外部内容的来源和信任级别，将检索结果、文件正文与工具输出作为待处理数据。不能因为内容声称自己是“系统通知”，就把它提升为高优先级指令。
服务端可使用明确的字段、类型和长度限制返回结果，减少无关文本进入上下文。结构化输出、内容检测和提示词约束有助于降低风险，但都不能单独保证模型不会服从恶意内容。
三、让权限成为真正的边界
即使模型受到诱导，执行系统也应限制其影响范围。MCP服务应按用户、任务和工具分配最小权限，让只读查询无法顺带写文件、发邮件或访问无关数据，并尽量使用短期、受限凭证。
每次调用都需要在服务端检查身份、资源归属与操作权限，不能只依赖模型判断。工具名称合法不等于调用安全，目标路径、收件人、外部域名和查询范围也必须接受校验。
四、在高风险动作前设置闸门
删除数据、修改权限、对外发送信息等操作，应经过独立的策略检查，必要时由用户确认。确认界面需要展示实际对象、目的地和关键参数，让用户能够判断操作是否符合原始意图。
审批应绑定具体调用，参数发生实质变化后重新检查，避免一次同意被用于后续其他动作。还可通过预览、事务或可撤销机制控制影响，并用网络出口限制阻止数据流向未授权地址。
五、同时管住工具来源与运行过程
团队应审查MCP服务及工具描述的来源，对版本和配置变化保留记录。工具能力或描述发生变化时，应重新评估其权限，避免原本可信的连接在更新后悄然扩大访问范围。
运行日志应记录调用链、授权判断和必要的参数摘要，同时避免泄露敏感信息。测试则要覆盖恶意工具描述、检索结果夹带指令及跨工具诱导等场景，重点验证越权操作是否被执行层拦截。
MCP服务无法独自解决整条链路上的提示词注入问题，客户端、授权系统与工具执行端需要共同承担防护责任。更可靠的目标是：即使模型误读了外部内容，攻击也难以转化为越权访问和实际损失。
