Prompt injection 不是 payload 问题——三个问题判断你的 AI 功能是否可被利用

文章认为 prompt injection 常被误解为一段巧妙的越狱字符串，但真正的问题是结构性的：LLM 功能把应用意图的指令与待处理的数据放进同一文本流，模型无法可靠区分应执行的命令与仅需处理的文本，这与 SQL 注入、命令注入同源，但目前没有完整的转义方案能让自然语言数据安全拼接。因此关键问题不是“什么 payload 能攻破”，而是隐藏在模型读取数据中的恶意指令能否触达有实际影响的目标。文章引用 Simon Willison 的 lethal trifecta 框架，指出当 AI 功能同时具备访问私有数据等三项条件时即变得危险。

AI推荐理由 文章把 prompt injection 重新定义为结构性缺陷（指令与数据共用同一文本通道），并引用 Simon Willison 的 lethal trifecta 框架，提出判断 AI 功能是否可被利用的三个问题。对开发者和 AI 应用安全设计有实际参考价值，但属于观点性技术文章，未提供新的实验数据或可验证证据。