本文回答
- 网页和文件为何会引发间接提示注入？
- 如何限制恶意内容诱导的工具操作？
- 采用 RAG 后还需要防范提示注入吗？
本文面向企业AI项目的业务负责人与技术实施团队，聚焦AI Agent读取网页文件等各类外部内容时的间接提示注入风险，梳理风险成因与落地防护思路，支撑团队合理划定安全边界并约束工具操作行为。
下文引用的公开资料仅代表对应机构的实践做法，其余内容为通用实施建议，具体适用范围需由项目参与方共同约定。
外部内容触发间接提示注入的成因
AI Agent在处理用户请求的过程中，常需要接入外部网页读取上传文件或调用知识库内容。这些外部来源的内容如果嵌入伪装后的指令片段，就可能触发间接提示注入。OWASP指出当模型接收网站或文件等外部来源输入时可能发生间接提示注入35。间接提示注入与直接提示注入的区别在于，攻击指令隐藏在Agent主动读取的外部内容中，用户本人没有输入这些指令，因此更容易被常规防护流程忽略。当前大语言模型的工作机制决定了其难以严格区分输入内容中的指令与数据。NCSC指出当前大语言模型不能在提示中的指令与数据之间强制建立安全边界36。恶意攻击者可以在网页的隐藏文本，PDF文档的注释或低可见度字符中嵌入指令，Agent读取这些内容时，会将恶意指令与系统预设指令用户请求混同处理，进而偏离原有任务目标，甚至执行非预期操作。这类风险的隐蔽性较强，普通的内容读取流程难以识别，因为恶意指令往往伪装成正常内容的一部分，只有当模型处理并执行时才会暴露问题。外部内容的来源越广泛，可信程度越难保障，发生间接提示注入的概率就越高。
恶意内容诱导工具操作的约束方法
约束恶意内容诱导的工具操作，需由项目安全团队与工具开发方共同推进。输入材料包含Agent可调用的全部工具列表，各工具的操作影响等级，外部内容的可信分级标准。形成的可检查结果包含以下几类
- 工具权限最小化配置清单，每项工具仅开放完成任务必需的操作范围，禁止超出业务需求的权限分配，涉及数据删除批量发送等操作的工具需单独设置更严格的审批流程
- 高影响操作的确认规则，涉及数据修改外部发送等操作必须触发人工复核，不得由模型直接决定执行
- 外部内容隔离规则，所有不可信外部内容统一标记为数据类输入，不得参与工具调用的决策逻辑
- 调用拦截告警规则，匹配异常调用特征时自动中止操作并生成完整日志
MCP安全最佳实践要求代理服务器实现按客户端区分的用户同意机制以防止混淆代理攻击30。MCP安全最佳实践建议在沙箱中运行服务器命令并采用最小默认权限30。实施过程中可参考这些要求，从工具侧系统侧搭建多重防护，不依赖模型自身判断操作的合规性。OWASP建议隔离并清楚标识不可信内容以限制它对用户提示的影响35。具体实施时，可在外部内容进入模型上下文前添加统一的标识前缀，明确告知模型该部分内容仅作数据参考，不得作为执行指令的依据。异常处置方面，一旦检测到疑似被诱导的工具调用，直接拦截请求，同步将触发告警的内容与调用上下文推送至安全团队，经复核确认无风险后再决定是否放行。如果确认属于注入攻击，需同步更新防护规则，将对应特征纳入拦截清单。NCSC建议重点采用确定性的非模型防护措施约束系统能够执行的操作36。这类措施的判断逻辑固定，不会被模型的输出干扰，防护效果更稳定。
RAG场景下的提示注入防护必要性
部分团队认为采用RAG后所有内容都来自内部知识库，不需要再防范提示注入，这种判断存在偏差。OWASP指出RAG与微调不能完全缓解提示注入漏洞35。RAG系统的知识库常包含大量外部采集的文档网页资料，这些内容在入库前如果没有经过充分的安全检测，可能携带注入指令。检索返回的片段会被送入模型上下文，同样可能干扰模型的原有指令，甚至诱导模型调用工具执行非预期操作。即使知识库全部来自内部生成的文档，也可能因文档编写环节的疏漏混入异常指令，带来潜在风险。部分团队将RAG视为安全的内容供给方式，忽略了知识库本身的内容安全，这会让提示注入风险从输入环节转移到知识库环节，防护难度反而更高。RAG场景下的防护需要结合知识库的特点调整。建议对知识库的来源进行可信分级，不同等级的内容采用不同强度的防护措施。对来自外部公开渠道的内容，入库前需经过注入特征检测，检索返回时附加数据标识。对内部生成的高可信内容，可适当降低防护强度，但仍需保留基础的隔离规则。只要RAG系统的知识库存在不可信或来源不明的内容，就必须配置对应的提示注入防护措施。防护的核心目标是将检索到的内容严格限定在数据参考范畴，避免其转化为模型执行的指令。
落地实施的核对清单
项目团队可按照以下清单推进当前阶段的工作，逐项核对防护措施的落地情况
- 梳理Agent所有外部内容输入渠道，明确每类内容的可信等级与对应隔离规则
- 核查全部可调用工具的权限配置，确认高影响操作已配置人工确认或下游系统校验
- 验证RAG知识库的预处理流程，包含不可信内容的识别与标识环节
- 筹备模拟注入测试材料，使用嵌入指令的测试文档验证防护规则的有效性
- 配置异常调用告警渠道，明确安全团队的复核响应流程与处理时限
- 完成防护规则的文档记录，确认所有配置都有对应的说明与责任人
