提示词注入攻击与隔离防御

提示词注入攻击 (Prompt Injection) 是一种通过恶意构造输入文本劫持大模型控制流或诱导其违反系统安全设定的安全攻击手段，分为直接提示注入 (Direct Injection / Jailbreak越狱: 用户直接在对话框输入诱导绕过指令) 与间接提示注入 (Indirect Injection: 攻击者将恶意指令隐藏在网页、PDF 或第三方检索文档中，当 Agent/RAG 抓取并加载该文档时悄然触发注入)；防御体系包括：XML/Markdown 分隔符隔离、严格指令分层 (Instruction Hierarchy)、输入预检分类器以及双 LLM 沙箱隔离架构 (Dual-LLM Security Sandbox)。

联网检索 Agent、处理外部不可信文件（简历解析、合同分析）的企业应用、以及具备外部工具调用执行权限的高危系统。

间接提示注入能悄无声息地命令 Agent 窃取内部私有数据并通过 Webhook 发送给黑客，属于 OWASP Top 10 for LLM 首位安全威胁；多层次防御构建起深度防御纵深，杜绝恶意指令被当作特权命令执行。

详细对比直接提示注入 (Direct Injection) 与间接提示注入 (Indirect Injection) 的攻击路径与危害面差异？

Dual-LLM 架构（Quarantine LLM 处理外部不可信数据并提取事实，Privileged LLM 仅接收纯结构化数据执行决策）的安全设计？

对抗性前缀攻击 (Adversarial Suffix / GCG 梯度搜索攻击: 如追加乱码字符破坏安全对齐) 的成因与输入困惑度检测防御？

如何使用随机 Nonce / 签名令牌 (Cryptographic Nonce Token) 封装输入边界以防攻击者伪造 XML 闭合标签？

在 Agent 工具调用阶段，如何通过要求用户在终端显式审批确认 (Human-in-the-Loop Approval) 阻断高危写操作？