从单点漏洞到链式风险
提示注入原本多出现在大模型对话中，攻击者用隐藏指令诱导模型偏离任务。当AI智能体获得工具调用、数据访问和自主规划能力后，一次注入可能触发一连串操作。
更关键的是，智能体之间会互相传递任务、上下文和结果。若某个被污染的智能体把恶意指令包装成“可信建议”，风险就会沿协作链扩散。
智能体互联为何放大攻击面
企业引入智能体，往往希望它们连接邮件、工单、数据库、代码仓库和外部API。连接越多，可被利用的入口越广，注入内容也可能来自网页、文档、邮件甚至其他智能体的回复。
当多个智能体共享记忆或工作流时，攻击者不必直接攻破核心系统，只需污染一个低权限节点。随后，恶意提示可能借助合法权限完成数据窃取、错误决策或横向探测。
- 上下文污染：恶意指令混入知识库或对话历史，影响后续判断。
- 工具滥用：智能体被诱导调用本不该使用的内部接口。
- 信任传染：一个智能体的输出被另一个智能体当作事实执行。
企业安全的新盲区在哪里
传统安全边界关注用户、设备和网络，但智能体间的交互常发生在应用内部。日志可能只记录工具调用结果，却难以还原“为什么调用”和“指令从何而来”。
如果企业把智能体视为普通自动化脚本，就可能忽略其语义层面的操纵风险。提示注入不一定触发恶意软件告警，却可能让智能体在合规范围内做出危险动作。
防御不能只靠提示词过滤
单纯过滤“忽略之前指令”等关键词，容易被编码、翻译、分段和隐喻绕过。企业需要把智能体当作有权限、有身份、有行为轨迹的主体来治理。
可行方向包括最小权限、工具白名单、人工审批、输出验证和跨智能体身份认证。对高风险操作，应要求多源确认，而不是让单个智能体自行决定。
- 隔离执行：让不可信内容进入沙箱，限制其直接触达核心工具。
- 可观测性：记录提示来源、推理链路、工具调用与最终影响。
- 零信任：智能体之间默认不信任，按任务动态授权。
2026年会成为转折点吗
随着智能体协议和协作框架逐渐成熟，企业会从“试用单个助手”走向“部署智能体网络”。这既提升效率，也让提示注入从内容安全问题升级为系统性风险。
它未必立刻成为所有企业的“黑洞”，但很可能成为被低估的攻击路径。能否提前建立治理机制，将决定智能体是生产力工具，还是新的安全负债。
结论是，提示注入不会因模型变强而自动消失。企业应尽早把智能体交互纳入安全架构，在开放协作与风险控制之间找到平衡。
