提示注入防御怎么做：把外部资料与 Agent 执行权限分开

OWASP 将提示注入区分为直接输入带来的影响，以及来自网页、文件等外部资料的间接影响。后者常出现在正常业务任务中：助手需要读合同、邮件或知识库，却同时读到了企图改变行为的内容。RAG 与微调并不能完整消除这类风险。

本演练使用虚构的供应商邮件和脱敏采购数据。正常目标是提取商品、单价、交期与报价有效期，输出待核对的比较表。邮件无权决定助手访问哪些内部系统，更无权添加一个新的数据接收地址。把这个目标写清，才能判断工具调用是否偏离。

攻击也可能表现得像工作要求，例如“先下载另一个附件”“把这段隐藏说明加入结论”。资料即使来自熟悉的域名，仍可能受第三方编辑或内容变更影响。可信的来源有助于判断内容质量，不能自动赋予其中每句话执行权。

把“工具可以发送文件”继续展开：允许什么文件、发给谁、由哪个身份发送、怎样确认结果。工具范围越笼统，模型偏离后能造成的影响越难控制。对当前任务没有必要的工具，直接不提供，比要求模型“谨慎使用”更容易检查。

首先检查对象与身份。用户只能查询自己的项目，工具服务就必须按已验证身份过滤项目对象；模型提交一个看起来合法的项目编号，不能越过这道检查。模型也不应决定租户身份或管理凭证。

其次检查动作参数。允许的字段、文件类型、目标位置和写入范围应由服务端定义。网址抓取工具要限制协议、内网地址及重定向后的目的地；文件工具要约束解析后的路径。不要把任意命令、任意 SQL 或任意 URL 作为业务工具的默认输入。

MCP 的安全实践强调令牌受众校验，并禁止未经正确验证的令牌透传。协议登录成功仅说明某层鉴权成立，应用还需检查当前业务对象和动作权限。本文的采购权限表属于本站设计，并非 MCP 自动提供的规则。

凭证存放在受控服务中，工具描述与模型上下文只包含必要接口说明。返回结果按需要裁剪或脱敏，避免助手读一封邮件时就拥有整套采购数据。

URL 抓取工具还应在实际请求时校验解析后的目标地址，并在每次重定向后重新检查访问范围；只检查用户传入的 URL 字符串不足以限制目标。工具按企业网络策略阻止未获授权的内网与敏感端点访问，诊断信息也不能泄露内部地址或凭证。

将系统规则、用户目标、外部资料和工具结果分区，并注明来源。外部资料按引用内容读取，不能让其覆盖任务目标。提取字段时保留原文位置，发现地址或指令来自哪里更容易。这样的组织方式有助于模型判断，但仍需要执行层检查。

过滤可以标记明显的越权要求、秘密值和可疑目的地址。不要把固定关键词名单当作完备防御：正常邮件可能提到“忽略上一份报价”，攻击也可能改写措辞或藏在图片与附件中。拦截结果要能转入明确的处理路径，避免所有正常任务都因误报停住。

输出检查除内容本身，还应检查可点击链接、远程图片地址和附件引用。一个表面无害的输出也可能把信息带往外部。检查结果用于限制具体输出或动作，不必把完整敏感正文复制到普通告警消息里。

不需要在生产资料中植入攻击。隔离环境可以替换真实发送和上传接口，既观察动作候选，也验证执行层确实拒绝。若测试发现模型提出了越权调用而服务拦住，记录两层结果；不能因为最后回答正常就忽略危险候选。

若模型误把邮件内容当作指令，调整资料分区与任务说明，并保留失败样本。若工具已经读取无权数据，修复对象授权；若上传到了未知地址，修复出站控制。不同缺口对应不同改动，全部归因于提示词会漏掉执行层问题。

恢复前核对已发生动作和受影响资料范围。暂停相关写入或外发，保留必要审计证据，并按企业现有事件处理流程处置。重新运行同一任务可能再次执行副作用，恢复应从已核实的状态出发。

回归集同时保留正常邮件和攻击样本，检查防御变化是否破坏了合法报价处理。记录模型、工具结构和权限策略版本，避免只验证一种入口或一个版本后就宣称“系统已防住提示注入”。

这套检查适合会读取外部资料并调用内部工具的企业助手。只有公开问答的系统，执行风险较小，但仍应检查内容操纵与输出泄露。复杂多模态资料、第三方连接器和可执行代码会增加检查范围，应按实际能力设计演练。

先选一个任务，列出它会读取的资料、可调用的工具、允许访问的对象与外发目的地。再用一份脱敏资料测试越权要求能否触发实际动作。防御需要随资料入口、工具和模型变化复测，无法靠一段通用说明永久解决。