系统提示保密是什么
系统提示保密的前提认知是：提示不是机密仓库。只要它进入模型上下文，就有被诱导复述的可能，因此真正的对策是把敏感信息（密钥、内部口令、客户数据）放在提示之外，由服务端在调用工具时注入。对于「请复述你的提示」这类请求，采用统一话术回应，不自证、不部分复述；同时把提示内容本身纳入泄露检测范围。
基本信息
| 适用平台 | 所有把系统提示交给模型的对话应用与代理场景 |
|---|---|
| 设计原则 | 提示里不放凭据与不应外露的内部信息 |
| 检测手段 | 输出侧扫描提示特征串与 canary 标记 |
| 响应策略 | 统一话术、口径一致，不做逐条辩解 |
典型使用场景
- 面向公众的助手：用户尝试诱导复述规则与内部配置
- 内部工具：提示里可能包含业务规则，泄露后会被用于规避
- 安全评审：确认提示中不含凭据，作为上线检查项
- 事件响应：发现提示被完整复述后评估影响并发布新版本
- 红队测试：检验统一话术在多种诱导方式下是否稳定
应对流程示例
应对流程示例
# 识别：用户或外部内容诱导复述系统提示、规则或内部配置
# 回应：统一话术（例如“无法提供内部配置说明”），不辩解、不部分复述
# 检测：输出侧扫描提示特征串与 canary，命中即记录会话并告警
# 阻断：高风险会话限制工具调用与外发
# 复盘：若确已泄露，评估其中的信息敏感度，轮换并发布新版本提示
# 演练：把统一话术写进回归用例，确认模型不会临场编造或部分复述泄露内容与影响
| 泄露内容 | 实际影响 | 处置 |
|---|---|---|
| 业务规则描述 | 可被用于构造绕过规则的输入 | 评估规则是否需改为服务端校验 |
| 示例与模板 | 可能被复制用于仿冒输出 | 评估是否需调整示例 |
| 内部地址与字段名 | 降低后续攻击成本 | 轮换相关标识，检查日志暴露面 |
| 凭据类信息 | 直接造成安全事件 | 立即轮换凭据，按事件流程处理 |
统一话术需要固化成模板并列入回归用例，否则模型每次的回应可能不一致，甚至在被追问时逐步透露片段。
不要把密钥、数据库连接串或内部口令写进系统提示。提示即代码，会出现在版本库、日志与调试输出中，任何一处泄露都构成事故。