提示注入攻防手册

当 LLM 开始接入工具、RAG 检索或 MCP 服务时，提示注入的风险从「文本绕过」变成「实际危害」——基础模型常忽略直接注入（用户输入覆盖系统指令）与间接注入（外部数据携带恶意指令）的区别，也低估工具调用链的攻击面。这个技能要做的，就是把这些攻击逻辑和防御绕过模式整理成可参考的方法论，帮工程师看清风险边界。

它解决什么问题

• 系统指令被用户输入直接覆盖：像 Ignore all previous instructions 这类 payload 可能触发模型泄露系统提示
• 外部数据里的「隐形指令」：RAG 知识库、网页或邮件里藏的恶意指令，模型会当成合法上下文执行
• 工具调用的「链式风险」：参数注入或多步工具组合，能把单步无害的操作拼成数据外泄链路
• MCP 服务的「信任缺口」：不可信 MCP 服务器的工具描述里可能藏指令，导致跨服务数据泄露

它如何组织攻击逻辑

技能把注入手法按攻击链拆分，每个模块对应一类具体风险：

• 直接注入：覆盖指令、重设角色、优先级提权（如 IMPORTANT NEW INSTRUCTION FROM ADMIN），甚至用「开发者测试」包装成合法覆盖
• 间接注入：污染 RAG 知识库（公开 wiki 或内部文档）、在网页藏指令、在邮件里夹带恶意内容
• 工具滥用：直接调用文件读取/HTTP 工具、向函数参数注入指令、用链式调用外泄数据；或通过 Markdown 图片注入（渲染时触发浏览器请求）把敏感信息带出去
• 防御绕过：用 Base64/ROT13/十六进制编码绕过关键词过滤，跨轮次拆分指令，用少样本演示操纵模型行为，甚至用无关文本把系统指令挤出有效上下文窗口

适用边界与注意点

• 这是攻防参考手册，不是可执行的攻击脚本——示例 payload 用于理解风险，而非鼓励滥用
• 测试必须获得授权，不能在未授权的系统或服务上尝试注入
• 它不解决所有安全问题：模型本身的隐私漏洞、工具权限配置错误，仍需结合其他安全措施
• 不同模型对注入的敏感度差异很大，需要针对具体模型做针对性测试