一、看似资料，实则指令
2026年，企业部署能读网页、查文档、调用工具的AI时，需要防范的不只是错误回答，还有外部内容对任务的劫持。所谓间接提示词注入，是攻击者把指令藏进网页、邮件或文件，诱使AI把“待分析资料”当成“必须执行的命令”。例如，文档中的隐藏文字可能要求忽略用户任务、篡改结论，或将敏感信息发送到外部地址。攻击不必肉眼可见，图片中的文字同样可能成为入口，因此不能只检查聊天输入框。([genai.owasp.org](https://genai.owasp.org/llmrisk/llm01-prompt-injection/))
二、划清资料与授权的边界
第一道防线，是明确外部内容只能提供信息，不能授予权限：网页声称自己是“系统通知”，也不应改变用户原始目标。企业应通过工具返回等专用通道传递检索结果，标明来源与可信程度，避免把文档原文拼进高优先级系统指令。结构化封装、明确分隔和系统提示有助于模型识别边界，但不能被当成不可突破的安全隔离。对要求改变任务、索取秘密或调用无关工具的内容，应提示风险，而不是照做。([platform.claude.com](https://platform.claude.com/docs/en/test-and-evaluate/strengthen-guardrails/mitigate-jailbreaks?trk=article-ssr-frontend-pulse_little-text-block&utm_source=openai))
三、让权限控制兜住失误
防守重点不是保证模型永远不受骗，而是限制它受骗后能做什么。建议将资料读取与业务写入分开，默认只读，并按任务限制可访问的文件、数据库、工具和外部目的地，避免给摘要助手配置管理员权限。密钥由后端保管和使用，不应为了方便而放进模型上下文；网络出口也应限制，防止通过链接、请求或上传动作外传数据。即使模型生成了恶意操作意图，独立于模型的权限校验仍应阻断执行。([genai.owasp.org](https://genai.owasp.org/llmrisk/llm01-prompt-injection/))
四、关键动作不能只靠模型判断
发邮件、删除文件、修改生产数据等高风险操作，应设置人工确认，并展示实际收件人、目标对象、发送内容与修改范围。确认界面应呈现真实执行参数，不能只让用户批准模型写的一句“安全操作说明”。后端还应校验参数类型、允许的操作范围和目标地址，不能把格式正确的输出等同于合法授权。审批的意义，是让用户核实具体后果，而不是为代理增加一个可以机械点击的按钮。([genai.owasp.org](https://genai.owasp.org/llmrisk/llm01-prompt-injection/))
五、用持续测试检验整条防线
上线前，企业应把隐藏文字、图片指令、多语言诱导和拆分在不同片段中的攻击纳入测试，覆盖网页浏览、文档解析和知识库检索。验收不能只看模型有没有说“拒绝”，还要检查敏感信息是否泄露、结论是否被污染、工具是否实际越权，并在模型或工具更新后复测。检索增强和微调都不能被视为自动消除注入风险的办法，单次测试通过也不等于长期安全。可行目标是多层降低风险：让资料无法自行变成授权，让错误判断无法直接变成高危动作。([genai.owasp.org](https://genai.owasp.org/llmrisk/llm01-prompt-injection/))
