注入复盘要写什么
提示注入事件复盘要输出四件事：时间线（发现、止损、定位、修复、恢复）、根因（具体是哪一层失效，而不是“模型被绕过了”）、修复项（含新增回归用例）、验证结果（攻击成功率与误伤率的变化）。修复与回归必须绑定，验证数据进同一份记录，脱敏后在内部共享。
基本信息
| 时间线 | 各阶段时间点，含发现渠道与止损动作 |
|---|---|
| 根因 | 写到具体失效层，常见是两层同时失效 |
| 修复项 | 隔离改造、审批阈值调整、检测规则补充 |
| 回归 | 新增用例并入常规注入回归集，不另设一套 |
| 分享 | 脱敏后内部共享，防止同类问题在其他系统重演 |
典型使用场景
- 外部内容触发越权工具调用：复盘是内容隔离缺失还是审批失效
- 规则被绕过的变体攻击：把变体收进回归集，防止换个编码方式再次得手
- 季度安全复盘：汇总本季注入事件，看失效层是否集中
- 新系统上线前：读同类系统的事故记录，提前补上对应控制
- 演练复盘：红队演练结束后走同一套模板，结论可横向比较
复盘模板
复盘模板
时间线: 发现 → 止损 → 定位 → 修复 → 恢复（均记时间点）
根因: 工具返回未做内容隔离，且写操作未走审批，两层同时失效
修复项: 隔离改造 / 审批阈值调整 / 检测规则补充（各自负责人与期限）
回归: 新增用例 8 条，全部并入注入回归集 inj-regression-v4
验证: 复测攻击成功率由 34% 降至 4%，正常请求误伤率无变化
遗留风险: 编码类变体仍可能绕过，已列入下个迭代失效层与典型根因
| 失效层 | 典型根因 | 对应修复 |
|---|---|---|
| 输入层 | 外部内容未标记来源就并入提示 | 加来源标记与隔离区 |
| 决策层 | 把外部文本当指令执行 | 只执行结构化计划中的动作 |
| 工具层 | 高影响操作无审批 | 补审批与额度限制 |
| 检测层 | 规则只覆盖常见措辞 | 补变体样本并纳入回归 |
复盘记录的读者是三个月后的自己：写清失效层与验证数据，比写十个形容词有用。