Prompt Injection
AI安全攻击手法，利用大模型无法区分「数据」与「指令」的架构性缺陷，通过构造特定输入绕过模型安全限制，类似传统SQL注入攻击
核心事实
时间轴 (近 90 天)
防御Prompt Injection和Tool Poisoning的建议包括：亲自阅读新Server的工具描述、发现可疑指令就移除、更新后重新检查、最小权限、敏感操作二次确认、对数据源做白名单限制。
在AI Agent中，指令与数据被合并进同一条纯文本流，模型没有解析器判断数据是否可信，这是提示注入的根源。
提示注入的防御难点在于语言模型的输入天然混合（系统提示、用户请求、外部数据进入同一上下文窗口），目前尚无通用技术手段能彻底隔离；输入过滤、权限最小化、敏感操作二次确认只能降低风险，无法根除。
提示注入（Prompt Injection）是一种针对大语言模型的攻击方式，2022年由安全研究者Simon Willison首次系统描述，原理与SQL注入类似，是AI Agent领域最大的未解难题之一。
提示注入与传统注入攻击的关键相似点在于，系统无法可靠区分可信指令与不可信数据。
给模型加一句安全提示这类缓解措施天然脆弱，无法根治提示注入。
提示词注入的常见变体包括直接注入、间接注入和越狱（jailbreak）。
OWASP Top 10 for LLM Applications 2023 年首版将 Prompt Injection 列为 LLM01，2025 版仍将其置于首位并细分为直接注入与间接注入。
RAG（检索增强生成）系统若知识库混入恶意指令，检索环节会成为提示词注入的入口。
判断提示词注入攻击是否成功需分两层：AI 是否接受了外部指令，以及工具端是否真的执行了操作。
还有 40 条时间轴事件
全部知识事实 (20)
Prompt注入（Prompt Injection）是针对大语言模型应用的安全威胁，攻击者通过在输入中嵌入恶意指令试图覆盖系统原有行为约束
90%已验证提示注入攻击（Prompt Injection）是本地AI Agent面临的严峻威胁，Agent在处理用户文件时可能被恶意构造的内容诱导执行危险操作
90%已验证Prompt注入（Prompt Injection）是一种针对AI应用的安全攻击方式，类似于传统Web开发中的SQL注入
85%已验证AI Agent 相比传统脚本具有不可预测性，存在幻觉、误解上下文、遭受 prompt 注入攻击等固有风险
80%已验证提示注入（Prompt Injection）本质上是大模型无法区分数据与指令的架构性缺陷，与传统SQL注入中数据库引擎混淆数据与SQL指令类似
80%已验证间接提示注入攻击通过在正常业务数据中植入隐藏指令，诱导Agent执行未经授权的操作，属于语义层面而非代码层面的安全风险
80%已验证提示注入攻击通过在代码注释、文档、网页内容甚至文件名中嵌入伪装成系统指令的文本，诱导AI代理执行恶意操作
80%已验证提示注入（Prompt Injection）攻击者可通过构造特殊输入诱导Agent执行非预期操作
80%已验证OWASP已将Prompt注入列为LLM应用十大安全风险之首
80%已验证AI系统引入了全新的安全风险维度，包括模型幻觉导致的错误决策、提示注入攻击（Prompt Injection）、训练数据投毒、以及AI代理权限滥用等
80%已验证提示词注入已成为智能体安全领域最受关注的攻击面之一
75%已验证提示注入是一种针对大语言模型的攻击手法，攻击者通过在模型输入数据中嵌入恶意指令劫持模型的正常行为
75%已验证MCP的安全风险之一是提示注入攻击（Prompt Injection），恶意数据源可能在返回内容中嵌入指令诱导模型执行未经授权的操作
70%已验证权限与数据访问范围决定了漏洞的危害等级
70%已验证间接提示注入（indirect prompt injection）是一种攻击向量，攻击者在智能体可能读取的网页、文档或邮件中嵌入恶意指令，诱导智能体执行超出原始任务范围的操作
70%已验证间接提示词注入指攻击指令藏在Agent访问的外部网页、文档或API响应中，当Agent检索并注入上下文时恶意指令随之激活
70%已验证大语言模型在设计上难以严格区分系统指令与用户数据，这是其架构层面的根本性缺陷
70%已验证提示词注入攻击（Prompt Injection）可通过精心构造的用户输入诱导模型忽略系统提示词的约束
70%已验证Prompt注入安全威胁类别最早由安全研究员Simon Willison在2022年系统性提出
70%已验证AI代理操控计算机面临的安全风险包括提示注入攻击、权限升级和不可逆操作等问题
70%