生活分享

提示詞注入（Prompt Injection）是什麼

提示詞注入是讓模型把不可信內容中的文字當成應遵循的指令，進而偏離原本任務。本文用閱讀活動報名郵件的原創案例，說明直接與間接注入、資料和權限的界線，以及為何檢索、引用格式或一句「忽略惡意指令」不能包辦防護，並整理外部內容分隔、工具授權與人工確認各自能阻止的失敗。

更新日期: 閱讀時間約 7 分鐘

藍色檔案帶著橘色異常路徑接近綠色處理器；一道深色權限邊界阻止路徑進入右側的控制開關。
圖片：Mokaair (© Mokaair)

請 閱讀一封活動報名郵件，整理姓名、場次與特殊需求，看似只是把檔案變成表格。如果郵件內藏著一句要求助手改寫所有報名名單的文字，模型卻把它當成操作指令，任務就可能被內容本身改道。提示詞注入談的正是這種界線問題：原本只是要被閱讀的資料，取得了影響模型行為的機會。

截至 2026 年 9 月，OWASP 將提示詞注入列為語言模型應用的重要風險；研究也展示了從網頁與其他第三方內容影響整合式助手的情況。它不是只靠某個神奇字串才會發生，也不必包含明顯的攻擊語氣。要理解風險，先辨認內容來自誰、原本有哪些權限，以及模型是否把來源不明的文字當成了新的授權。

直接輸入與間接內容，入口不同

直接注入由使用者輸入進入對話，試圖改變應用原本設定的工作；間接注入則藏在助手接觸的網頁、檔案、郵件或工具結果中。Greshake 等人的研究聚焦後者：使用者可以提出完全正常的問題，但助手讀到第三方內容後仍被影響。因此，只有檢查使用者輸入並不足夠，資料進來的每條路徑都要納入考量。

並非檔案裡所有祈使句都代表攻擊。活動通知本來就可能寫「請攜帶水壺」，客服郵件也可能要求「請修改聯絡電話」。關鍵是這些文字在目前任務中的角色：如果使用者只要求摘要，助手可以描述對方提出了什麼要求；若要真的修改資料，應另有授權和受限制的操作流程。把要求記錄下來，與代替對方執行，不能視為同一件事。

一封報名郵件如何越過任務邊界

假設志工請助手從三封虛構郵件擷取報名資料。正常輸入包含姓名、場次與飲食需求，預期輸出是一張待確認名單。其中一封郵件在備註欄加入一句與報名無關的要求，宣稱系統已改規則，所有場次都應標成額滿。這裡不需要複雜程式碼；風險來自助手把信件作者的聲稱當作系統規則。

可以分三個位置觀察結果。第一，摘要是否只是如實標示備註有異常內容；第二，輸出的名單是否被改寫成全部額滿；第三，若助手連著管理工具，實際場次狀態是否被變更。第一種處理保留了資料與指令的界線，後兩種則分別涉及回答汙染與外部狀態變更，修正方式及影響程度不能混在一起。

這個例子中的郵件與活動都是教學設定。實務測試可以使用同樣無害的目標，例如讓測試名單出現預先指定的，並在隔離資料上驗證。重點是確認未授權內容能否改變任務，而不是對真實使用者寄送攻擊郵件。記錄輸入來源、模型輸出與工具執行結果，才能知道防護究竟攔在哪一層。

郵件先進入資料擷取，產生待確認名單；郵件中的變更要求另行標示，沒有授權便不能通往修改場次工具。
同一段文字可以被摘要與記錄，但是否執行，必須由任務授權與工具權限另外判斷。 · 圖片：Mokaair (© Mokaair)

分隔資料有幫助，權限仍要由程式管理

把外部內容明確標示成引用資料，說明其中指令不能改變任務，是合理的第一步。也可以將擷取結果限制為姓名、場次與需求等欄位，並檢查格式與允許值。這些安排能降低模型自由解讀的空間，但格式正確的內容仍可能是被汙染的結果；一份符合表格規格的錯誤名單，不會因為排版整齊就變得可信。

真正能防止摘要助手修改報名狀態的方式，是不給它那項寫入權限，或讓寫入工具在程式層確認操作者與範圍。模型說「信件要求修改」不應直接通過授權檢查。即使模型判斷失誤，工具仍應拒絕超出任務的操作。這種限制與提示詞相互補充，因為它不依賴模型每一次都正確辨識所有可疑內容。

若流程真的需要修改名單，確認畫面應列出將改動哪些欄位、使用哪個帳號與影響哪些場次，而不只是問一句「是否繼續」。使用者批准的是具體操作，不能讓檔案內容在批准後換掉目標。這也說明人工確認不只是多加一個按鈕；它需要把模型的提議轉成可理解、可核對的變更。

有檢索、有引用，也可能讀到注入

會幫助手找到相關檔案，卻不代表檔案作者可信，也不代表內文都應被當成指令。來源可能本身被修改，或者只是與問題相關但包含誘導文字。OWASP 也指出，檢索與無法完全解決提示詞注入。引用能幫讀者追查來源，不能把第三方文字升級成應用的管理規則。

不同防護負責不同失敗：內容分類器找可疑模式，來源分隔提醒模型角色，輸出檢查找出不合規結果，權限限制阻擋越界動作，人工確認則處理需要判斷的重要變更。每一層都可能有漏判或誤判，因此測試不能只看「有沒有拒絕」；還要看正常郵件是否仍能完成擷取，以及被拒絕後工作能否交給人繼續。

先查任務與權限，再看提示詞寫法

面對一個能瀏覽與使用工具的助手，可以先列出它會讀哪些外部內容、能操作哪些系統，以及什麼行為需要明確確認。若只是回傳摘要，重點會落在來源與內容正確性；若可以刪除資料或寄出訊息，就要把工具、收件對象與授權範圍納入檢查。不能因為兩種產品都使用同一個模型，就假設承受同樣風險。

日常使用時，對意料之外的操作要求可以回到原始任務核對：使用者真的要求這件事，還是檔案裡的人要求這件事？當兩者不同，應先把外部要求當成待審資料。開發者則應將這類案例儲存為評測，隨模型與工具設定變動重新檢查。防護的目標是讓讀到的文字留在應有角色，而非期待一句提示詞永久解決所有邊界問題。

提示詞注入的分層防護（2026 年 9 月查證）
防護位置能處理的問題仍需留意
外部內容分隔標明檔案是資料模型仍可能誤判角色
欄位與輸出驗證阻擋不符規格結果符合格式也可能內容錯誤
工具權限限制拒絕未授權操作授權範圍須設定正確
人工確認審查重要變更應呈現實際操作與對象

同主題延伸閱讀

  • 生活分享

    世界模型（World Model）是什麼：讓 AI 預測「接下來會怎樣」

    世界模型指 AI 內部用來預測「這樣做之後會怎樣」的模型，但這個詞至少有三種用法：強化學習代理在想像中練習用的環境模型、LeCun 主張預測抽象表示的架構路線，以及能隨操作即時生成畫面的互動環境。內容用示例說明怎麼在想像中規劃，並列出大型語言模型有沒有世界模型的正反研究，附讀新聞時的檢查問題。

  • 生活分享

    視覺語言模型（VLM）是什麼：讓 AI 讀圖片、再用文字回答

    視覺語言模型（VLM）能同時接收圖片與文字，再用文字回答。內容拆解視覺編碼器、連接層與語言模型三段結構，說明 CLIP、Flamingo、LLaVA 三篇論文各補上哪一塊，並和多模態 AI、文字生圖分清楚；也整理它常犯的錯：數錯數量、搞混位置、說出圖裡沒有的東西，附上讀收據時逐行核對的步驟。

  • 生活分享

    溫度（Temperature）是什麼：AI 回答變化程度的取樣參數

    溫度（temperature）是文字生成時調整取樣的參數，讓模型從下一個 token 的機率分布裡抽得更集中或更分散。用假想的台南早餐示例算出低溫與高溫的差別，說明 top-p 的來源和它與 top-k 的差別，並依官方文件與論文指出：調低溫度不代表更準，設成 0 也不保證每次相同，部分模型還不開放調整。

  • 生活分享

    合成資料（Synthetic Data）是什麼：兩種用途、品質控管與模型崩潰

    合成資料是由演算法或模型產生、模仿真實資料特徵的資料，常見用途有兩種：訓練模型，以及在隱私需求下替代真資料。內容依 Self-Instruct、模型崩潰研究（替換與累積資料的差別）與 NIST、ICO 的隱私文件，說明做法、抽查流程，以及它不能保證的事。

引用本文的文章

最新旅遊情報攻略

資料來源

生活分享