直接注入本质上是针对模型的社会工程攻击：攻击者编写提示词，明确要求模型违反规则、泄露数据，或越权行事。攻击可能简单到只需让智能体“忽略之前的指令”，或把要求伪装成无害任务，诱使其透露机密。这一点不容忽视，因为许多业务工作流会接受自然语言输入，或依赖自由形式的内部聊天；如果缺乏防护措施，智能体就会试图满足自己理解的用户意图。

当智能体检索外部内容，并将其视为权威上下文时，就可能遭遇间接注入。网页、电子邮件往来或嵌入式文档中都可能藏有指令，模型会将这些指令融入回复或决策逻辑。对于能够自主浏览网页、读取附件或汇总客户文件的智能体而言，这种攻击途径尤其危险。企业应对内容来源进行分类，默认将不可信的检索内容视为恶意内容，并进行清理，或只提取经过验证的数据字段，而非直接输入原始文本。

如果智能体能够广泛使用各类工具——API、工单系统、文件存储或云控制台——提示注入一旦得手，就可能造成运营层面的损害。遭入侵的智能体可能调用 API 窃取个人身份信息、创建包含错误指令的工单，或安排会议并暴露机密议题。业务影响取决于权限范围和凭证管理方式。防护措施包括遵循最小权限原则、定期轮换并隔离凭证，以及要求高影响工具调用经过独立审批或多人验证。

没有一招就能解决问题，真正有效的防护需要多层配合。首先，限制工具权限并隔离凭证；将可信与不可信内容的处理流程分开；同时做好内容清理和结构化提取。再通过工作流级管控补强防护——敏感操作设置审批关卡，明确要求人工参与，并对可信提示词进行加密签名。在运营层面，记录每个智能体能够执行的任务，并为不确定的输入设计默认拒绝的机制，让智能体在有疑问时优先确保安全，而不是贸然执行。

持续监控并制定清晰的事件响应预案，才能让防护措施真正转化为韧性。记录智能体输入、检索调用和工具操作，并添加标明可信等级的上下文标签。针对高风险输出（例如数据导出、凭证使用）设置运行时验证规则，并在发现违反策略的行为时发出警报。制定应急预案，涵盖凭证轮换、近期命令审查，以及自动化操作的回滚流程。定期进行红队演练和模拟注入测试，有助于验证管控措施，并发现隐蔽的信任依赖。