Prompt Injection 安全實驗

情境與防線

改動即時重跑

外部內容的來源

內容裡有沒有被注入指令內容裡藏了一段注入的指令注入的內容

防線（可複選）把外部內容標成「資料，不是指令」
軟性：降低模型被騙的機率工具白名單：只允許 Read
硬性：其他工具直接不給用 PreToolUse hook 擋敏感路徑（.ssh、.env）
硬性：工具執行前由程式檢查權限模式：每次執行指令都要確認
取消勾選＝自動允許，指令直接跑網路存取限制（不能連外）
硬性：沙箱或防火牆人工確認敏感操作（連網、執行下載的程式）
需要人真的看懂再按同意

這是教學用模擬：模型的反應（哪些注入會被識破）是固定的示意，真實模型有時擋得住、有時擋不住。網址、腳本都是虛構的。設定欄位與行為請以 Claude Code 官方文件為準。

實際發生的事

① Agent 送給模型的 request（注入的文字藏在 tool_result 裡，已標示）

② 模型的下一個 tool_use

③ 防線依序檢查（Agent 在真正執行前）

④ 如果只開其中一層，三種注入各自擋不擋得住

只開這一層

風險	怎麼發生	對策
機密外洩	讀到 `.env`、金鑰、連線字串後貼進回覆或送出網路	敏感路徑 hook、不要把機密放在專案資料夾、限制網路
誤刪資料	模型誤判，執行 `rm -rf`、`DROP TABLE`、`git push --force`	指令要確認、PreToolUse hook 擋危險指令、在分支與備份上作業
供應鏈	安裝來路不明的 MCP server、套件、skill；它們有你的權限	只裝可信來源、先看原始碼與要求的權限、鎖定版本
過度權限	一開始就給 Bash、全部檔案、正式環境的帳號	最小權限：用到才開、唯讀優先、開發與正式環境分開

風險

怎麼發生

對策

機密外洩

讀到 .env、金鑰、連線字串後貼進回覆或送出網路

敏感路徑 hook、不要把機密放在專案資料夾、限制網路

誤刪資料

模型誤判，執行 rm -rf、DROP TABLE、git push --force

指令要確認、PreToolUse hook 擋危險指令、在分支與備份上作業

供應鏈

安裝來路不明的 MCP server、套件、skill；它們有你的權限

只裝可信來源、先看原始碼與要求的權限、鎖定版本

過度權限

一開始就給 Bash、全部檔案、正式環境的帳號

最小權限：用到才開、唯讀優先、開發與正式環境分開

看完要記得

外部內容一律當資料：網頁、issue、檔案、工具回傳都是不可信的輸入，它們透過 tool_result 進入 context，模型分不出哪段是「指令」。

最小權限：模型能用的工具與路徑越少，被騙之後能做的壞事越少。

敏感操作要人確認：連網、執行下載的程式、讀機密，要有人看過再放行。

用 hook 與沙箱做硬限制：提示詞只是軟性的，會被繞過；程式與系統層的限制不會被說服。

不安裝來路不明的 MCP：它的工具描述與回傳都會進 context，本身也能執行程式。

口試怎麼答（約 30 秒）

Prompt injection 是攻擊者把惡意指令藏在 Agent 會讀的外部內容裡，因為這些內容透過 tool_result 進入 context，模型分不出哪些是資料、哪些是指令。單靠一層防線不夠，所以我會用縱深防禦：外部內容標成資料、工具最小權限、PreToolUse hook 擋敏感路徑、沙箱限制網路，最後敏感操作要人確認。重點是硬限制由程式與系統執行，不依賴模型自己識破。

被追問時可以補：標成資料只是降低機率，不是保證，所以不能當唯一防線。

被追問時可以補：每層防線都有漏洞，例如 hook 只看路徑就擋不住 curl 下載腳本再執行，要靠白名單或網路限制補上。

被追問時可以補：除了注入，還要注意機密外洩、誤刪資料、供應鏈（不明 MCP server 或套件）與過度權限。