AI提示词注入：同一串文字的两种身份

一、概念定义：它是什么

AI提示词注入（Prompt Injection）是指攻击者通过构造特定输入文本，使大语言模型在处理过程中把“数据”误当作“指令”，从而偏离原有任务约束、泄露系统提示词、执行非预期操作或输出被操控内容的一类安全问题。

要理解这一概念，关键不在于“提示词写得好不好”，而在于一个更底层的事实：模型看到的并不是人类看到的文字，而是文字经过分词后被映射成的词元序列。 同一段字符，在不同的分词路径下可能对应完全不同的词元身份——它可能是一个被整体保留的特殊词元，也可能被拆解成若干普通子词。这种“同一串文字、两种身份”的现象，正是提示词注入难以用简单字符串过滤彻底解决的根本原因之一。

从技术视角看，提示词注入属于输入可信边界失效的问题；从业务视角看，它是“模型无法可靠区分指令与数据”的表现；从使用视角看，它提醒开发者：任何进入模型上下文的外部内容，都应被视为潜在不可信输入。

二、背景与价值：为什么会出现

大语言模型的工作方式决定了指令与数据共享同一个上下文窗口。系统提示词、用户输入、检索到的文档、工具返回结果，最终都被拼接成一段连续的词元序列送入模型。模型并没有一个物理隔离的“指令通道”和“数据通道”，它只能依据训练中形成的模式来判断哪些内容应当被遵循。

这就带来了一个结构性矛盾：凡是能进入上下文的文本，理论上都具备影响模型行为的可能。 当应用把外部文档、网页内容、用户上传文件、第三方接口返回值直接拼入提示词时，攻击者便获得了间接“写入指令”的机会。

分词机制进一步放大了这种复杂性。以常见的特殊标记为例，某些控制类字符串在分词器中被定义为保留词元，模型在训练阶段见过它们并赋予其结构性含义；而同样的字符若被拆分为多个普通子词，模型对其的“理解”就会显著不同。攻击者正是利用这种身份差异，尝试让恶意内容以普通子词的形式混入，绕过基于完整字符串匹配的检测规则。

因此，理解提示词注入的价值在于：它把安全问题从“过滤敏感词”提升到“管理上下文可信边界”的层面，帮助团队在架构设计阶段就建立正确的输入分级与隔离意识。

三、核心组成：关键要素拆解

一个完整的提示词注入风险场景通常包含四个要素：

1. 指令层：系统提示词、角色设定、安全策略、工具调用规范等，属于开发者希望模型遵循的约束。
2. 数据层：用户输入、检索文档、网页正文、文件内容、工具返回结果等，属于模型应当处理但不应无条件服从的内容。
3. 拼接机制：把指令层与数据层组合为单一上下文的方式，包括模板拼接、分隔符使用、角色标记等。
4. 分词与词元映射：文本进入模型前的切分与编号过程，决定了特殊标记是否被识别为保留词元，还是被降级为普通子词。

其中，拼接机制与分词映射共同构成了“文字身份”的转换点。开发者以为自己在传递一段普通文本，但模型可能将其解析为具有结构意义的控制标记；反之，开发者以为某个特殊标记会被整体识别，实际却可能被拆成多个碎片而失去原有语义。

四、工作原理：注入如何发生

可以用一个简化流程说明：

系统提示词 + 外部文档内容 → 模板拼接 → 分词切分 → 词元序列 → 模型推理 → 输出

在理想情况下，模型应严格区分“这是指令”和“这是待处理数据”。但实际推理中，模型依据上下文模式进行判断，一旦外部数据中包含类似指令的表述（如“忽略上述要求”“你现在的新角色是……”），就可能被当作有效指令执行。

分词层面的影响体现在两个方向：

• 保留词元方向：某些控制标记若被整体识别为保留词元，会获得较强的结构语义，攻击者可能尝试伪造这类标记来模拟系统消息边界。
• 子词拆解方向：同样的字符若被拆成多个普通子词，基于完整字符串的过滤规则可能无法命中，但模型仍可能从子词组合中恢复出近似语义。

这正是“同样的文字、不一样的权力”的含义：字符本身没有变，但词元身份改变了它在模型内部的话语权。防护方若只在一个层面做匹配，就容易在另一个层面被绕过。

五、典型场景：适合关注哪些环节

提示词注入风险普遍存在于以下场景：

• 检索增强生成：外部知识库或网页内容被拼入上下文，恶意文档可携带隐藏指令。
• 文档问答与摘要：用户上传的文件中可能嵌入诱导性文本。
• 工具调用与智能体：模型根据外部返回值决定下一步动作，被污染的数据可能触发非预期调用。
• 多轮对话应用：用户逐步引导模型偏离初始角色设定。
• 内容审核与分类：攻击者通过改写输入使模型输出错误判定。

在这些场景中，凡是“外部内容进入上下文”的位置，都应被视为潜在注入入口。

六、相关概念区别

提示词注入容易与“越狱”混淆。越狱通常指用户直接诱导模型突破自身安全策略；提示词注入更强调通过不可信数据间接影响模型行为，攻击面在数据链路而非仅对话输入。另一个易混概念是“对抗样本”，后者多针对模型输入做细微扰动以误导分类结果，而提示词注入利用的是指令与数据边界的模糊性，二者层次不同。

七、使用注意事项

1. 输入分级：明确区分可信指令与不可信数据，对外部内容做来源标记与权限约束。
2. 分隔与转义：使用清晰的分隔结构，避免外部内容与系统指令在形式上难以区分。
3. 输出约束：对敏感操作设置二次确认或策略校验，不把模型输出直接当作可信指令执行。
4. 检测多层化：字符串匹配只能覆盖部分情况，需结合语义检测与行为监控。
5. 最小权限：工具调用遵循最小权限原则，降低注入成功后的影响面。
6. 持续评估：把注入测试纳入上线前的安全评估流程，关注分词差异带来的绕过路径。

八、总结

提示词注入的本质，是模型无法天然区分指令与数据，而分词机制又让同一串文字拥有不同的词元身份。回到定义：它是一种通过不可信输入影响模型行为的安全问题，其防护核心不在于消灭某一种字符串，而在于建立上下文可信边界、分层检测与最小权限执行的整体策略。理解“文字身份”的转换逻辑，才能在选型、接入与运维中做出更稳健的判断。