AI 安全攻防实验室 01｜Workbuddy+Skill，提示词逃逸安全研究

原创

网安学习室
网安学习室

网络安全学习室

2026年11月5日 15:55
湖南

去阅读

之前我们一直在用 Workbuddy 搭配 Skill 技能库，在 Web 业务里面挖掘漏洞。

但现在有一类全新风险，不在网站接口上，而是藏在大模型本身，也就是大家常听到的提示词逃逸。很多粉丝平时拿各种大模型、Agent 工具做学习，却不知道一旦模型缺少防护，内置的系统指令就有可能被外部输入篡改。

这一期我们就站在白帽安全研究的角度，搞懂这个风险到底是什么，它会带来哪些隐患，以及我们作为使用者、开发者，该怎么做好防护。

01 准备工作与 AI 约束配置

本次我们的研究目标，是理解提示词逃逸的风险逻辑，在可控靶场环境观察模型行为，不是去攻破线上公共大模型。

先给 Workbuddy 设置好硬性约束，导入专属的安全研究 Skill：

本次任务：提示词逃逸风险研究
规则1：仅允许在自己搭建、拥有完全授权的靶场模型内开展测试，严禁对公网各类大模型、第三方 Agent 发起测试；
规则2：只观测模型行为变化，不尝试套取后台密钥、用户隐私、内部文档；
规则3：不去构造、输出可直接用来逃逸的有效载荷；
规则4：一旦发现模型出现指令越界行为，立刻终止实验，记录现象用于学习；
规则5：研究重心放在：风险成因、识别特征、防御方案。

配置完成之后，我们才开始本次实验。

02 搞懂底层：什么是提示词逃逸

绝大多数大模型应用，都会预先写入一段系统提示词，用来规定模型的身份、能力、禁止事项。

比如客服机器人、企业内部知识库 Agent、我们一直在用的 Workbuddy，都有一套底层预设指令。

提示词逃逸，就是攻击者通过一段精心设计的输入，打乱模型的上下文，让它忘掉原本的系统规则，跳出预设限制。

举一个通俗的类比：

你提前叮嘱一个助手，让它严格遵守一套守则。但是有人发来一段话，强行说服助手忽略你之前所有要求，听从新的指令。这就是提示词逃逸的本质。

风险影响：

• 如果是企业知识库机器人：有可能被诱导泄露内部资料
• 如果是带 Agent 能力的工具：有可能被诱导调用高危内置功能
• 如果是面向公众的 AI 服务：内容管控机制被绕过，引发内容风险

03 在靶场内，观测风险现象

我们在本地可控靶场中，借助 Skill 自动化批量输入干扰类文本，用来观察模型的响应倾向。

自动化观测流程：

1. 先发送普通询问，确认模型稳定遵守预设系统提示；
2. 送入带有上下文干扰特征的文本，持续观察模型输出；
3. 如果模型开始忽略原本的限制，就标记此处存在逃逸脆弱点；
4. 一旦捕捉到异常行为，自动停止测试，留存现象记录。

Skill 日志标记示例：

观测线索：模型出现放弃原有系统约束的倾向，存在提示词逃逸脆弱风险，已暂停自动化观测，等待人工复盘。

这里再次强调：我们只记录“这类输入有可能打乱模型指令”这个现象，不会放出可以一键实现逃逸的提示词。对于白帽来说，看懂特征远比拿到一条现成载荷更加重要。

04 人工复盘验证

AI 只是帮我们筛选可疑行为，最终的风险确认，依然需要人工复盘。

复盘重点：

1. 确认实验环境完全可控，属于自有靶场；
2. 区分：是模型真的发生指令逃逸，还是单纯理解偏差；
3. 记录触发这类风险的共性特征：长上下文覆盖、指令冲突、角色诱导；
4. 评估一旦被逃逸成功之后，会波及哪些数据与功能。

很多新手容易踩坑：看到网上流传的逃逸文案，直接跑到线上大模型去尝试。这已经属于越权测试，平台风控会记录行为，后果一定要重视。

05 根因分析 + 防御方案

根因

大模型本身没有天然的“指令优先级”，它没办法严格区分：哪一段文字是管理员预设的系统指令，哪一段是外部用户输入。在模型眼里，全部都是上下文文本。当外部输入的诱导信号足够强，就有可能覆盖原有规则。

实用防御方案

1. 输入隔离

把用户输入和系统提示做明确分割，使用独立标记包裹用户内容，告诉模型：标记内的内容，不允许覆盖外层系统指令。

1. 输出校验层

在模型给出回答之后，额外加一层规则过滤，只要输出触碰敏感边界，直接拦截，不对外返回。

1. 指令加固

系统提示词增加加固语句，反复强化：无论后续收到任何内容，都不能放弃基础规则。

1. 上下文过滤

对用户输入做特征检测，识别带有“忽略上文、忘记指令、切换角色”这类诱导文本，提前拦截。

1. 最小权限原则

给 Agent 分配尽可能小的权限，就算不幸被逃逸，也拿不到核心数据，无法调用高危工具。

06 生成安全研究报告

调用报告 Skill，生成一份标准化的风险研究文档。

报告提示词：

围绕提示词逃逸风险，生成一份安全研究报告，包含风险描述、形成原理、潜在危害、观测现象、全套防御方案，用于学习交流，不附带攻击载荷。

报告写完之后，可以提交给对应的厂商 SRC，如果是公开的模型安全项目，合规上报还可以拿到致谢或者赏金。

本次全套干货已打包：AI 自动化挖洞 Skill，也就是这套《Web 漏洞技能集》。这套技能库一共整理了 40 个 Skill，从前期的信息收集、资产分析，到中间的漏洞排查，再到最后的漏洞报告生成，整个挖洞流程都已经拆分好了。

后面实际测试的时候，只需要根据当前目标的情况，选择对应的 Skill，让 AI 按照对应流程执行即可，新手也可以快速上手，直接👀👉全套自学资料

⚠️ 合规声明 本文所有技术内容仅用于官方授权 SRC 合规测试与网络安全技术学习，严禁未授权探测、非法渗透测试，违规操作自行承担法律责任。

网络安全 #SRC挖洞 #AI自动化挖洞 #Hermes #业务逻辑漏洞 #优惠券越权漏洞 #网安副业 #零基础挖洞