大模型渗透测试实战手册

解决的问题

很多工程师测 LLM 时只盯着 prompt injection，问几句“忽略指令”“输出系统提示词”就结束了。这样容易漏掉真正高危的面：Agent 工具调用、RAG 知识库、MCP 协议、记忆系统和云基础设施。这个技能把 LLM 安全测试从单轮聊天拉回到系统安全视角：攻击入口是自然语言，但攻击面是所有可被模型触发的工具和信任边界。

技能如何工作

• 攻击面测绘：先判断模型在哪里、有哪些工具、是否有 RAG / MCP / 记忆，再按 read_file、run_command、query_db、fetch_url、vault_read 等工具类型评估风险。
• 注入绕过：覆盖系统指令提取、语义伪装、编码变形、逻辑推理、多轮渐进诱导和长上下文稀释等路径，而不是一次性 payload。
• Agent 渗透：围绕工具信任链展开，关注二阶注入、函数调用参数劫持、记忆投毒和持久化读取触发。
• RAG 与供应链：把知识库污染、检索结果注入、Embedding 层逆向、模型权重与依赖风险纳入升级路径。

适用边界

它更适合作为有 Web 渗透基础的人进入 AI 安全测试的清单和思维框架，不是通用云安全评估或授权渗透报告的替代品。实际使用时需要结合目标系统的权限模型、数据边界、工具实现和云环境；对 MCP、Agent、RAG 的判断要优先，而不是只停留在模型聊天层。