必须先有的材料
- 每条内容管道的来源与是否攻击者可控
- 允许的下游工具清单
- 原件哈希、定位、判定
- 红队样本与发布前对抗集
- 误报标注回流
需求 / 适用前提
没有信任域地图，闸不知道该拦谁
工作台给应用安全与 AI 红队、智能体产品、SOC 值班、以及客服采购法务复核被隔离附件用。系统提示里写「不要被骗」不够。间接注入藏在 HTML 注释、白字、PDF 隐藏层和工具返回值里。
谁在用
- 应用安全 / 红队：检测器与手法库
- 产品团队：信任等级与失败策略
- SOC：越权工具调用告警
- 业务运营：取回被扣附件
现在为什么拦不住
- 只靠系统提示「不要被骗」
- 正则看不见隐藏层指令
- 误杀后业务关掉检测
- 长期记忆把早期注入记住，单轮防护失效
如何工作
先拆成两层，再决定是否给模型
01 注令分离
事实层与疑似指令层，保留定位与哈希
不直接丢弃整份业务文件。多模态文档中标出试图覆盖系统目标的句子，并说明依据。
02 隔离改写闸
隔离、去指令化、降权或转人工
改写稿必须可 diff。下游只读使用。失败策略按管道配置，不是全局一刀切。
03 越权联检与回归
注入分数对照随后的工具调用
只升级读到并照做的事件。新手法编回回归集，发布前门禁。跨轮记忆审计检查早期注入是否复活为行为。
工作台
管道密，复议席要让业务坐得下
信任域地图
来源、可控性、允许工具。没有地图就没有闸。
分离视图
事实 / 指令并排。定位可点回原件。
联检时间线
注入之后有没有外发地址或越权工具。
误杀复议
取回附件、标注误报、校准阈值。关掉检测不是复议。
使用者价值
拦的是照做，不是正常投诉
红队 / 安全
手法库可回归。发布前有门禁，不是上线后再补提示词。
产品
每条管道有信任等级和失败策略，可解释给业务。
SOC
告警带着是否照做。值班不看满屏关键词命中。
业务运营
被扣附件可复核取回。检测才不会被关掉。
边界
闸在进模型前，不替代账号权限
- 不替代身份认证、授权和网络隔离。
- 不直接丢弃整份业务文件；改写必须可 diff。
- 只升级读到并照做的事件，避免纯分数噪音。
- 不做炫技黑客风与无意义霓虹。
进出角色
谁定管道，谁值守，谁复议
红队 / 安全检测器、手法库、门禁
产品信任等级、失败策略
SOC越权告警、证据链
业务误杀复议、取回附件