风险链路（示意）
风险链路（示意）
第三方内容（网页/文档/邮件）
→ 被系统抓取进上下文
→ 内容里的指令样式文本被模型执行
→ 触发越权读取、外发或修改操作| 特点 | 用户看不到内容原文；触发点在自动化流程中 |
|---|---|
| 高发面 | RAG 知识库、浏览器代理、邮件处理、工单摘要 |
| 防护 | 来源信任分级加内容隔离加权限最小化加出站限制 |
间接注入：第三方内容夹带指令
间接注入来自检索文档、网页、邮件、工具返回等第三方内容；用户完全不知情，是代理型系统的核心风险。
易错点
- 只审计用户输入不看第三方内容，间接注入完全漏检；数据入口都要纳入
- 把第三方内容当“可信资料”直接拼接，是常见的设计缺陷
数据来源与参考
- Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection（Greshake et al., 2023）