大模型提示注入攻防手册

大模型提示注入的核心痛点

LLM的安全边界高度依赖输入提示词的可控性。当攻击者能通过用户输入、外部工具返回值、第三方内容等途径触碰模型上下文时，就能通过提示词注入绕过预设的指令限制，诱导模型泄露敏感信息、执行未授权操作，或利用工具调用发起后续攻击。这类攻击分直接注入（如覆盖原始指令、模拟角色）和间接注入（如污染RAG知识库、网页内容），多数基础模型难以区分两者的差异，更易低估工具调用链带来的风险。

核心能力与关键步骤

该技能聚焦专家级攻击技术，核心覆盖五类场景：

• 直接注入：通过指令覆盖、角色模拟、上下文篡改打破模型初始规则；
• 间接注入：针对RAG知识库投毒、网页浏览内容、邮件输入等外部源植入恶意指令；
• 工具滥用：诱导模型发起非预期的工具调用（如读取敏感文件、发送HTTP请求）；
• 数据窃取：通过编码输出、分步反馈等方式泄露模型上下文或系统数据；
• MCP安全：利用MCP服务器的输入信任漏洞，发起跨工具的权限提升攻击。

适用边界与注意点

该技能仅用于合法安全研究与模型安全测试，需在授权范围内使用。它无法替代完整的安全纵深防御（如输入过滤、工具权限管控），且部分高级攻击手法需结合JAILBREAK_PATTERNS.md中的多步 escalation 技术使用。测试时需避免在生产环境直接应用，防止意外触发敏感操作。