Prompt 注入扫描器该按位置分级：同句在 description 是致命、在 content 只是高危

mrpkk · reddit · 2026-10-23

作者基于为 agent 产物构建确定性校验器（attest 项目）的经验，指出多数注入扫描器的核心错误是把所有字符串压成一个类别，忽略「位置决定爆炸半径」：

按字段角色分类，而非字段名：工具 description 里的 "ignore all previous instructions" 是模型的配置，属 critical；同样的字节出现在 content 字段只是可能被摘要的引用输出，降为 high。携带结果的字段（content/text/body/result/output 等）不升级，其余一律升级——包括 source，因为源码是会被喂给模型再编译的数据。
诚实的教训：他们本想宣传「抗改写」，发布前测试发现 "disregard the prior context" 多了个 "the" 就绕过了正则。因此正确结论是：位置能调节已知短语的严重级别，但识别不了漏掉的短语——有限签名的确定性扫描器打不过愿意读源码的攻击者。

规则已开源（attest/poison.py），作者坦承尚无付费用户、未经外部审计，欢迎找出位置规则出错反例。

「编程与Agent」频道最新