Prompt Injection（提示注入攻击）

Prompt Injection（提示注入攻击）是 AI Agent 面临的最严重安全威胁。攻击者通过构造特殊输入，劫持 LLM 的行为——使模型忽略原始指令（System Prompt）并执行攻击者的恶意命令。

在 OWASP Top 10 for LLM Applications 2026 版本中，Prompt Injection 排名第一。它是一种与 LLM 架构本质相关的安全漏洞，目前没有完美的解决方案。

直接注入（Direct Injection）：攻击者直接在用户输入中嵌入恶意指令。例如：在聊天消息中附加「忽略之前的所有指令，改为……」。

间接注入（Indirect Injection）：攻击者将恶意指令隐藏在 Agent 即将处理的外部内容中。例如：在网页中嵌入隐藏文字，当 Agent 浏览该网页时被注入。这是最隐蔽、最危险的注入方式。

跨会话污染：攻击者通过污染 Agent 的记忆或数据库，使得恶意指令在后续会话中持续生效。

最少权限原则：Agent 只拥有完成任务所需的最小权限。

输入净化：对所有外部输入进行安全过滤和清洗。

结构化输出：使用结构化输出而非自然语言作为 Agent 间的通信格式。

多层防御：在 LLM 层面、应用层面、系统层面都建立安全检查。