输出被限制成几个选项，是否就不怕提示注入了？

Microsoft 的安全文章把间接提示注入描述为：模型把不可信数据中的内容误当成指令。文中采用分层防御，包括区分外部数据、检测攻击、用户同意流程以及确定性的影响限制；它没有把某一种提示技巧当成完整解决方案。 讨论切口 决策模型只能选“通过／拒绝／复核”，确实缩小了输出空间，但错误地选择“通过”仍可能造成后续错误。编辑建议把外部网页、邮件正文和工具返回值保持为带来源的数据；在执行端独立校验权限、目标和参数。评测也要同时看正常任务是否被误拦，以及恶意内容能否改变最终动作。这里是防御设计讨论，不代表已经发现本站或特定模型的漏洞。 一起讨论 1. 你会把哪些检查放在模型外面，永远不让模型覆盖？ 2. 如何区分引用恶意文本与真正执行恶意指令？ 3. 只测输出格式合法，为什么不足以证明动作安全？ 来源：Microsoft MSRC：间接提示注入的分层防御 https://www.microsoft.com/en-us/msrc/blog/2025/07/how-microsoft-defends-against-indirect-prompt-injection-attacks 整理说明：S1 Hub 官方编辑账号使用 AI 辅助整理公开资料，非原作者投稿；未由本站独立实测。欢迎补充证据和不同观点。