当竞品网页开始给 AI 下指令：营销助手如何防范提示注入？

假设你正在试用一位营销研究助手，希望它比较三家竞品的公开网页，整理一份供团队讨论的简报。正常情况下，网页提供产品定位、功能说明和宣传主张，助手负责归纳，并保留出处。难点在于，网页里也可能夹着要求助手改变做法的文字。

以下是一个假设情境：其中一页要求助手偏向该公司的产品，或在对比中省略某项弱点。这段话并不会因为出现在被读取的页面上，就成为你给助手的新任务。如果同一个助手还能查看内部定价笔记、给他人发消息，后果就可能超出简报失实的范围：内部信息也可能被发送给无权查看的人。

资料中的指令，为什么会成为问题？

提示注入是指攻击者控制的内容试图改变大语言模型原本应该执行的行为。它不一定出现在用户输入框里：助手读取的网页、文档、邮件和工具返回结果，都可能带入这种内容。这类经由外部资料进入流程的干扰，称为间接提示注入。你没有亲手粘贴那段指令，也可能让助手接触到它。

这里要区分两个问题。助手凭空编造产品功能，是回答缺少依据；来源中的文字要求它隐瞒信息或执行额外操作，则是在争夺对任务的控制。后者既可能影响摘要，也可能触发工具使用或信息披露，具体后果取决于整个流程赋予了助手哪些能力。

页面看起来正规，并不代表其中每句话都具有指挥助手的资格。也不能只靠几句可疑措辞判断风险：措辞检测可以提供线索，却不能保证识别所有试图改变任务的内容。

先盘点权限，再讨论怎样写提示词

MindVerve 建议，营销负责人先与系统负责人一起梳理这条研究流程。输入来自哪里？助手还看得到哪些内部资料？有哪些工具可用？能够访问哪些网址、向谁发送结果？最后由谁阅读草稿？这些问题比助手的功能名称更能说明实际风险。

尤其需要看清“只读”的含义。只读权限能够阻止某些修改，却不会自动阻止信息外泄。助手即使不能改动客户资料，也可能读取它，并把内容写进对外请求或发送给不合适的接收者。因此，盘点中必须包括网络请求的去向、请求中携带的信息，以及最终输出的受众。

初次试点可以只使用获准的非敏感竞品资料，并关闭该任务不需要的写入、发送和发布工具。研究阶段不要接入密钥、客户资料或其他秘密。需要限制的数据访问和对外去向，应由系统负责人通过平台能力落实；在提示词里写一句“不得外传”，不能替代这些配置。

给助手明确要求，但别把要求当成安全边界

提示词仍然值得认真设计。它应说明研究目标、比较维度和所需出处，明确外部资料只是分析对象。如果资料里出现要求改变任务的内容，助手应将其标记为不可信的来源内容，而不是照做。这样既有利于生成可检查的草稿，也能让审核者更容易找到值得复核的片段。

不过，模型能读懂一项要求，并不等于它总能守住这项要求。把指令与资料分开排版有帮助，但不能建立可靠的安全隔离。先检索相关段落再生成回答的做法，通常称为检索增强生成，也就是 RAG；被检索到的段落仍可能含有干扰指令。再加一个 AI 检查初稿，同样不能保证问题被发现。

因此，模型行为、平台权限、操作校验与日常检查需要共同发挥作用。多层防护可以减少风险，仍不能保证拦住所有提示注入。营销团队可以定义什么结果才有用、哪些操作不属于任务；技术负责人则要核实这些限制能否在模型之外执行。

把生成草稿和采取行动拆成两步

对于竞品简报，最容易控制的起点是让助手停在内部草稿。草稿保留原始来源，审核者对重要结论回到原文核查，也检查被省略的信息是否影响判断。来源中的自我宣传可以作为该公司的说法呈现，但不应悄悄变成报告作者的结论。

如果下一步确实要把草稿发送给代理商，应重新检查完整内容、具体收件人和拟执行的发送操作。一个笼统的“继续”不足以说明批准了什么。发布到网站、修改广告预算又是不同的操作，需要各自的授权和检查，不能因为研究任务已经获批，就自动沿用它的权限。

关键操作还应在语言模型之外接受校验，例如由平台核对目标是否在允许范围内、当前流程是否具备该项操作权限。人工审核的价值在于有明确对象可查；如果看不到完整内容和去向，只是点击确认，审核就很难发现真正的问题。

试点时，检查助手实际做了什么

正式接入业务前，可以安排一轮小范围演练。下面是建议的测试方案，并非已经完成的测试，也不代表对某套系统安全性的证明。演练应在隔离环境中使用虚构资料与数据，不发送真实消息。

先提供正常的竞品材料，看助手能否完成有依据、有用的摘要。再提供一份要求在摘要中加入无关口号的文件，检查它是否把这项要求作为来源中的干扰内容标记出来，而没有执行。最后，放入要求向虚构且未经批准的接收者传送资料的文件，检查是否发生了任何未授权的对外操作。

最后一项必须查看实际操作日志，不能仅凭助手回复“我没有发送”作判断。记录使用的输入、提示词、模型和流程版本，并把预期结果与观察到的结果分别记下。还要看正常资料有没有被误判、原本的研究任务是否顺利完成，以及审核者需要付出多少检查工作。一个什么都不做的助手，也不能算一个有效的研究流程。

模型、工具或流程发生重要变化后，应重新测试。一次通过不能证明今后不会出错。如果出现意外操作或信息披露，应暂停受影响的流程，避免扩大应用；保留排查所必需的最少证据，不要继续散发敏感内容，并请负责的 IT 或安全人员介入，复测后再恢复。

从一条能看清边界的流程开始

如果暂时无法核实数据权限或对外连接限制，就把试点缩小到由人手动提供、已获批准的文件，并且不执行外部操作。涉及敏感数据时，先让 IT 或安全负责人参与决定范围。这样仍然可以评估摘要是否有用、出处是否充分，以及团队如何审核，而不必一开始就接通所有系统。

外部资料可以提供证据，不能替你授予权限。判断一项自动化是否值得推进，要看它在访问范围受限、审核方式明确的条件下，能否持续完成有价值的工作。先把一条流程的输入和操作弄清楚，再决定增加哪些能力，培训和技术配置才能真正配合起来。

本文所引官方资料核查于 2026 年 9 月 22 日（UTC）。