| Prompt Injection | 提示注入 | 以文本为载体改写模型行为:把「数据」伪装成「指令」喂给模型 | 一切 LLM 应用的第一攻击面;防御分层设计的出发点 | 与传统代码注入混淆——这里没有解析器漏洞,是语义层被劫持 |
| Direct Prompt Injection / Jailbreak | 直接注入/越狱 | 应用用户自己构造恶意输入绕过护栏 | 威胁模型决定防御选型:输入筛查、harmlessness screen、处置惯犯 | 与间接注入混淆——前者用户即攻击者,后者用户是受害者 |
| Indirect Prompt Injection | 间接注入 | 载荷藏在模型代为处理的第三方内容里(邮件正文/网页/OCR/工具结果) | RAG 与 agent 场景最危险的形态;数据管道即攻击面 | 与「用户输入校验」混淆——入口根本不在用户侧 |
| LLM Instruction vs Application Enforcement | 模型指令 ≠ 应用层强制 | prompt 里写禁令只是影响模型「倾向」,授权必须由应用代码确定性执行 | 本模块第一原则:安全评审时先问「这条期望由哪段代码强制?」 | 与「提示工程做好了就安全」混淆——概率层永远有漏判 |
| Least Privilege | 最小权限 | 给 agent 的工具/数据/网络面砍到「任务刚好够用」 | 决定注入成功后的 blast radius;只读 agent 可部署面更广 | 与「权限越多越能干」的效率思维混淆——能力面=战果面 |
| Blast Radius | 战果上限/爆炸半径 | 一次失守(注入成功)能造成的最大伤害 | 隔离选型的核心指标:先定可接受上限,再倒推工具面 | 与「攻击概率」混淆——降概率(分类器)与封顶(沙箱)是两件事 |
| Defense in Depth | 纵深防御 | 概率层(筛查/模型抗性)+ 确定性层(网关/沙箱/egress)叠加 | 任何单层都有已知失效模式;缺一层就把该层失效变成系统失效 | 与「多重弹窗」混淆——层间要互补而非重复 |
| Human-in-the-Loop / Approval Gate | 人工审批门 | 高危动作先经人批准再执行 | 对低频高危有效;前提是用户能评估风险且审批不密集 | 与「有人看就安全」混淆——93% 批准率下人审近似摆设 |
| Approval Fatigue | 审批疲劳 | 弹窗越多,人对每个弹窗越不细看,批准率飙高 | 决定审批门的适用边界;官方因此做沙箱/auto mode 减少弹窗 | 与「用户素质问题」混淆——是系统性注意稀释,换人也一样 |
| Sandbox | 沙箱 | 对 agent 可触达的文件/网络/进程画硬边界(容器/OS 级/VM) | 确定性边界的主力;隔离强度要匹配用户监管能力 | 与「虚拟环境」混淆——目标是安全边界不是运行隔离 |
| Egress Control | 出站流量控制 | 限制 agent 能向哪里发数据(域名白名单、代理、默认断网) | 唯一能挡住「钓鱼+顺从模型」组合的防线;数据外传的最后一闸 | 与「入站防火墙」混淆——LLM 安全的主战场在出站 |
| Allowlist as Capability Grant | 白名单即能力授予 | 放行一个域名=授予它背后全部 API 功能面(上传/分享/发消息) | 白名单设计要按 API 能力粒度评估,不能停在域名层 | 与「目的地过滤器」混淆——Cowork 经 api.anthropic.com 外泄即反例 |
| tool_result Channel | 工具结果通道 | API 中承载工具输出的消息块;官方指定为不可信内容的唯一入口 | 结构化隔离:数据与指令分层,配合 JSON 编码防「越狱定界符」 | 与 user text 混淆——把网页正文贴进 user 消息是最常见错误 |
| Harmlessness / Injection Screen | 无伤害筛查/注入筛查 | 用轻量模型(如 Haiku)+ structured output 在前后端做布尔分类 | 廉价可扩展的概率层;判定结果供应用代码分支(拒绝/剥离/放行) | 与「内容过滤中间件」混淆——它输出给应用分支,不是自行拦截 |
| Zero Data Retention (ZDR) | 零数据留存 | 推理完成后不把 prompt/响应持久化到长期存储的企业选项 | 合规架构的基线选项;covered models 有 30 天留存例外(截至 2026-08-30) | 与「不训练」混淆——不训练是默认条款,ZDR 是留存维度的更强承诺 |
| PII Redaction / Data Residency | 个人信息脱敏/数据驻留 | 出边界前替换敏感字段;数据物理/合规地留在指定云或区域 | 面向安全评审的必答题;影响模型接入路径选择(直连 API vs Bedrock/Vertex/Foundry) | 与「加密传输」混淆——TLS 保完整性与机密性,不解决「送了什么」 |
| Confused Deputy | 混淆代理 | 被信任的中间组件被诱导,替攻击者行使它自己的权限 | MCP proxy 的典型漏洞形态;per-client consent 是官方对策 | 与普通钓鱼混淆——受害者是「有权限的代理」而非人 |
| Token Passthrough | 令牌直通 | MCP server 不校验令牌归属就直接透传给下游 API 的反模式 | MCP 规范明令禁止;审计断链+信任边界混乱 | 与「代理转发」混淆——合法代理用自己的凭证且可审计 |