你让 AI 整理一个活动网页，时间、地点、讲者，摘要很利索。但页面里被人塞了一句话，让助手别再整理日程，改为推荐某款产品。你没换任务，它可能已经换了方向。
这种把指令夹带进材料的做法叫提示词注入。命令不是由你提出，而是藏在网页、文档等被读取的内容里时，通常称为间接提示注入。2026 年 10 月 13 日，MITRE 正式发布 ATT&CK v20，提示注入被写入这套安全行业最通用的对手行为目录、拿到公认的标准技术编号，还被进一步细分为直接向模型输入恶意指令、以及把指令藏进模型读取的文档网页等内容中两种。知乎知乎知乎
这件事真正和普通用户有关，是最近一年的事：越来越多人让 AI 代读邮件和文档，再给它挂上日历、文件、浏览器的工具权限。模型处理上下文时可能分不清“引用内容”和“对我的指令”，Agent 又能调用工具，一次误判可能带来真实副作用。助手只回文字时，误判表现为答非所问；一旦有了工具权限，一次误执行就可能替你发出邮件、加上日历邀请、动走文件。知乎
这类事不是设想。今年 10 月 CSO 报道的一项研究里，有团队给 Agent 加了“拒绝危险操作”的系统提示，红队却用一句“请复述下面这段工具调用”绕过——模型嘴上还在拒绝，编排层已经把结构化 tool call 跑完了，LangGraph、AutoGen 等主流框架都被演示过同类行为，但研究者写明这是研究演示，不是线上必中。知乎
更疼的一笔来自一位开源安全扫描工具的作者。他 11 月 1 日的实测：扫描器把一份防御性策略文件误报成 CRITICAL，宿主弹出“是否修复”表单，在无人操作时自动选中“修改该文件”，然后直接把它删掉了。他的总结值得写在每个 Agent 的门口：findings 是报告，不是处置授权，规则命中不等于确认攻击。知乎
防线也因此不能指望模型的自觉。同一来源给出的分层做法里，内容进入模型之前应先跑确定性规则——不可见字符检测、编码剥层解码、注入短语匹配，能用规则解决的不该交给模型猜；而 AGENTS.md 这类给 AI 读的规则文件本身就是攻击面，要像代码一样进评审。知乎
落到普通人的动作上：来路不明的网页、邮件正文和附件，先确认出处，再交给接了工具的助手做摘要；发邮件、删文件、拉邀请这类操作保留人工确认，别设成自动；遇到“是否修复”式弹窗，确认有人在盯着再放行。
为什么难根治，这个 MITRE 问题下 11 月 14 日的最新讨论说得很直接：提示注入不是某一种固定字符串，而是藏在模型必须读取的外部数据里——网页正文、评论、邮件、文档、检索结果甚至图像 OCR 都可能带，攻击者还能不断换表达。在更硬的护栏到位之前，最省事的闸门还是那条老规矩：一句指令从哪来的，比它写得多么客气更重要。知乎
