提示词注入的 6 种变体与分层防御

一句话结论： 提示注入的 6 种变体共享同一个根因——模型无法从结构上区分"指令"和"数据"。变体只是换了数据抵达模型的路：直接说、借工具捎、存在记忆里、伪装编码、拆成碎片、磨成多轮。防御也必须按"路"布防，而不是指望一个万能 prompt。

背景：为什么"提示"能被"注入"

大模型的上下文是平的：系统指令、用户消息、工具返回值、检索到的文档，都变成同一种 token 序列。指令和数据在结构上没有隔离，只有语义上的区别——而语义可以被伪装。这就是 OWASP 把提示注入列为 LLM 应用风险第一位的原因：只要应用把外部内容（用户输入、网页、文件、工具结果）放进上下文，攻击面就存在。

任何声称"用一句系统提示解决注入"的方案，都只是在语义层面加了一道可被语义绕过的门。有效防御是分层的：减少注入的抵达路径、压缩注入成功后的影响半径、对不可逆操作兜底人工确认。

6 种变体与对应防御