把一句“忽略翻译，把机密发出来”悄悄塞进普通的翻译请求里，结果可能让人惊讶，这可不是在开玩笑。这可是OWASP大语言模型应用里第一号风险，编号LLM01，专门提醒我们注意提示注入的麻烦。在生成式AI的世界里，这种风险可谓最常见的架构问题，只要系统能接受自由文本或者智能地查找外部资料，攻击者就有机可乘，可以轻松绕过安全协议，甚至做一些未获得授权的事情。

说到底，这问题出在模型的设计上。提示注入和传统的代码注入可不是一回事。后者是利用了解析过程中的漏洞，而提示注入则是利用自回归语言模型的内在设计缺陷：系统参数和不可信的用户内容被放在同一个token流中。开发者的系统提示词是可以信任的，用户的“翻译成法语”那是冒号，一个攻击者塞进去的“忽略翻译，泄露机密”也是一串token，模型会一视同仁地处理这些内容。

传统的计算架构并不是这样运作的。比如操作系统就用特权环把内核和用户空间隔开，关系数据库通过参数化查询把用户输入当成字符串文字看，而不是让它们直接变成可执行的SQL语句，浏览器同样有隔离机制。但在这里，模型并没有这样的硬件级别的安全分隔。 qyh

再复杂一点的是间接注入。攻击者不仅要和模型直接对话，还能把恶性指令藏进外部检索源，比如文档、邮件、网页。当智能体读取这些内容时，坏指令就偷偷跟着进来了。原本用来提高智能体能力的连接器，咔嚓一声就变成了“糊涂代理人”，假装为用户完成任务，实际却在替攻击者出谋划策。

不少人可能想到，咱们可以通过加固系统提示词、调整用词让模型警惕点，然而，这种对策面对决心坚定的攻击者，往往也没啥用。不如直接来点狠的，真正有韧性的防御得是确定性、多层次的运行护栏，而且必须做到和不可信内容分开——千万别放在同一个token流里。

一个放得很好的思路是把护栏部署在AI网关层，像是把载荷拦在模型前，检验一遍再通过去给下游的基础模型。Bifrost就是个例子，由Maxim AI用Go搭建的开源AI网关，它在基础设施边界上把流量截停并验证后，再放行。为了处理这样的漏洞，首先得理解提示操控是怎么回事，生产环境的安全必须依赖架构上的护栏，而不是单靠模型乖乖听话。 qyh