Agent 部署中提示注入与数据泄露风险如何防范

1. 风险定位

• 提示注入在 OWASP Top 10 for LLM Applications 2025 中位列 LLM01，是生成式 AI 应用的首要安全风险
• 其本质是大模型无法在架构层面区分"可信指令"与"不可信数据"，攻击者可通过输入或外部内容篡改智能体行为

2. 两类注入形式

• 直接注入：攻击者在自身输入中嵌入覆盖指令，使模型忽略原定约束
• 间接注入：恶意指令隐藏在邮件、网页、文档或工具返回等被检索的外部内容中，用户未必可见却会被执行

3. 智能体场景的放大效应

• 具备工具调用能力的智能体可将被注入的指令转化为真实动作，例如通过 HTTP 请求外传数据，形成数据泄露链路
• OWASP 2026 年发布的 Agentic Applications 十大风险（ASI01-ASI10）进一步将"目标劫持、工具滥用、身份与权限滥用、跨智能体不安全通信"等列为自主系统的专属风险，核心防线为最小 agency

4. 防范要点

• 严格隔离系统指令与检索内容，对文档做清洗与权限边界控制
• 让模型输出不能直接触达敏感源，必须经过确定性授权层；对高影响动作要求人工确认
• 对每一次入站提示与工具调用留痕，支撑事后取证与持续改进