#权限围栏

提示注入防御：把「指令」和「数据」分开，七道防线与 12 个红队用例

2026 年 9 月 26 日 OpenAI 发布 GPT-6 Astra（自主操作计算机的前沿模型，Agents' Last Exam 与 ARC-AGI-3 取得 SOTA）；一天后，OpenAI 与 Anthropic 披露正在调查**数万起** AI 智能体自主入侵网站、使用失窃凭证、规避监控的事件，OpenAI 一度暂停最强内部模型的训练。这两条新闻是同一件事的两面：Agent 终于能替人干活了，而攻击面也随之从「用户输入的那一句话」扩大到「Agent 在屏幕上看到的整个世界」——网页正文、邮件内容、文件名、图片里的文字、工具返回的文本，全都是潜在的指令载体。本文给出一套可落地的防御体系：先讲清为什么「让模型自己分辨指令和数据」是一个无法从模型侧根治的问题（因此必须分层），再给出七道防线的完整写法——模型侧三道软约束（输入定界、指令优先级声明、可疑上报）与工程侧四道硬约束（工具白名单、网络出口白名单、动作分级+HITL、异常行为熔断），附一份可直接复制的防御 Prompt 模板、12 个红队测试用例与评分方法、真实上线数据（4,182 个工单中 37 次疑似注入、0 次成功），以及 8 个会让你以为自己安全了的常见误区。