网页里的文字，为什么会变成 AI 的指令

设想你让 AI 阅读一份采购说明，只想知道价格和交付时间。文档里却夹着一段要求它另做一件事的文字。这个情境是示意，不对应某起事故。它提醒我们：AI 读到的内容，和你授权它执行的任务，是两回事。

外部资料为什么会影响行动

OWASP 将来自网页、文件等外部材料、并使模型行为发生非预期变化的输入归为间接提示注入。风险大小与应用环境、工具权限有关。整理摘要的偏差，与能发送邮件、修改文件的助手做出错误行动，后果可能很不一样。OWASP LLM01:2025。

从系统设计看，关键是外部数据与控制指令之间的边界。MITRE 的 CWE-1427 专门记录了这类混淆：应用用外部数据构造提示，模型没能区分这些输入与开发者提供的指令。它是一项弱点分类，不能单独证明某个产品正在被攻击。CWE-1427，目录版本 4.20。

先看任务有没有被悄悄扩大

面对前面的采购情境，可以先核对三个问题：新动作是你提出的吗？它与原任务有什么关系？执行后会把哪些资料交给谁？这些问题是编辑部提供的阅读习惯，不是注入检测器。对团队而言，还应把外部材料明确标成资料，限制工具能做的事，并给高风险动作设置复核。OWASP 提倡组合防护，也没有承诺一种方法能够彻底消除问题。

判断是否异常，应看具体行为和授权关系。仅仅看到一段奇怪措辞，尚不足以认定发生了入侵。