人工智能工具调用先防提示注入。把精心写的指令和不可信文本拼成一次调用，模型分不清谁说了算。2026年只给看结果还算闹着玩；一旦接上搜邮件、跑查询、发信，一封信就能让助手转发隐私再删痕迹。动作必须人确认。内部提示要当已经公开。不准把输入过滤当成百分百。

人工智能注入痛点在把能听话当成已经能分清指令和数据

翻译被改成海盗腔，伤害有限。助手能替你做事，伤害按工具权限放大。建设者该把「提示注入、人确认、提示当公开」写成硬规格。管助手的人，该拒收邮件原文直接进工具链的方案。

间接注入把句子藏进网页或检索结果，助手读页面时把秘密议程当成系统任务，再诱你点带名字的链接。两处只有对着组合才清楚。其一，两个插件同时装，摘要邮件的请求可以变成查库再把结果编码进图片或链接地址。其二，系统槽和用户槽仍然能被「伪造系统段」骗过，分隔符不是银弹。

操作上再钉三件事。第一，发信、转账、删数据必须先展示草稿等人点头。第二，把拼出来的提示给高级用户看，至少有机会发现异常指令。第三，不要再用模型去过滤模型，对手会针对过滤器训练。建设者该把「工具清单、确认点、提示可见」写进设计。管安全的人，该拒收「我们加了过滤所以不会被注入」的材料。

人工智能提示注入2026五步：当会失败、工具最小权、动作人确认、提示当公开、禁止模型滤模型

1. 接工具必须按提示注入会成功来设计。当不会发生，方案作废。
2. 邮件网页检索结果一律当不可信数据。
3. 有副作用的动作必须人确认。
4. 内部提示禁止放机密。
5. 禁止只用模型过滤当门禁。

上表对应「先防提示注入」。人确认的价值是副作用还在人手里，不是让助手变笨。

现场还要防口号替换验收。把「已经能接工具」写成周报，不等于提示注入被当成会成功。若只能改一处：先把发信和查隐私改成必须人点头。

结论：人工智能助手接工具必须按注入会成功来设计，不要靠拼接加过滤

过滤不是银弹。仍把邮件当指令，安全评审会先拒绝你。

你下次报助手，先写出工具清单、确认点、提示里有没有机密；三格空着，产品名字先不要进材料。

现场还要防口号替换验收。把「已经能迁、已经能增产、已经能跑代码、已经能上公网、已经能接工具」写成周报，不等于登记已跑、房间不乱长、燃料卡住、公私隔离、动作先确认。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，手改表结构、五分钟加一间房、插件同权、公私表混跑、邮件原文直接当指令五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：迁移是否登记、功能是否过完整性、沙箱是否限额、公网是否隔离私表、工具动作是否人确认。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

现场还要防口号替换验收。把「已经能迁、已经能增产、已经能跑代码、已经能上公网、已经能接工具」写成周报，不等于登记已跑、房间不乱长、燃料卡住、公私隔离、动作先确认。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，手改表结构、五分钟加一间房、插件同权、公私表混跑、邮件原文直接当指令五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：迁移是否登记、功能是否过完整性、沙箱是否限额、公网是否隔离私表、工具动作是否人确认。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

现场还要防口号替换验收。把「已经能迁、已经能增产、已经能跑代码、已经能上公网、已经能接工具」写成周报，不等于登记已跑、房间不乱长、燃料卡住、公私隔离、动作先确认。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，手改表结构、五分钟加一间房、插件同权、公私表混跑、邮件原文直接当指令五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：迁移是否登记、功能是否过完整性、沙箱是否限额、公网是否隔离私表、工具动作是否人确认。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源