让AI助手总结一封邮件，它却执行了邮件正文中的隐藏指令，把聊天记录发给了攻击者。这不是假想——随着Agent获得越来越大的行动权限，提示注入正在从研究课题变成现实世界的安全威胁。
什么是提示注入
提示注入的本质，是攻击者把恶意指令藏进模型会读取的内容里——网页、邮件、文档、工具返回结果——诱导Agent偏离用户意图。与传统SQL注入不同，这里被”注入”的是自然语言，而自然语言天生难以与指令完全隔离。
直接与间接两条路径
直接注入发生在用户与Agent的对话中；间接注入更隐蔽——恶意指令藏在Agent检索或处理的外部数据里。由于Agent需要联网搜索、调用工具、读写文件，攻击面呈指数级扩大：一个能付款、能发邮件的Agent，被劫持后的破坏力远超一个只会聊天的机器人。
纵深防御是唯一答案
可行的防线包括：权限最小化——Agent只拥有完成任务必需的权限；内容与指令的严格隔离——标记外部数据的可信边界；敏感操作的人工确认——涉及支付、删除、外发必须过人；以及持续的行为审计与异常检测。
Agent越强大，注入的潜在收益越高，攻防的烈度也只会升级。在智能体时代，安全不是功能的附属品，而是架构设计的第一原则。
