人工智能杀伤链有七段不能只挡入口。提示注入只是初始进入，后面还有越狱提权、侦察、记忆投毒、指挥控制、横向移动和达成目标。2026年三十六起生产案例里至少二十一件走过四段以上，不是理论。只修提示过滤等于没修后面五段。不准再把这类攻击当查询注入来防。

人工智能提示攻击痛点在把入口过滤当成已经挡住了整条投毒链

查询注入伤的是库，提示投毒伤的是应用权限、工具和连出去的服务，爆炸半径按应用而不是按一张表。建设者该把「七段闸门、纵深而不是单点、记忆层单独防」写成硬规格。管安全的人，该拒收只有提示过滤器、没有后五段监测的方案。

两处只有对着阶段才清楚。其一，越狱是提权，不是攻击的全部；很多稿子只写前两段，侦察、持久化、指挥控制被当成「以后再说」。其二，间接注入把攻击者从「对着对话框打字」改成「污染网页、日历、邮件，等助手自己读进来」，入口过滤对这种路径几乎看不见。

操作上再钉三件事。第一，验收必须按七段打勾：初始进入、提权、侦察、持久化（对话记忆和检索库投毒）、指挥控制、横向移动（跨助手、跨应用）、达成目标。缺一段，方案作废。第二，图像和音频里也能藏指令，文本过滤器不够。第三，生产事故要按走过几段分级，只走到入口的和已经横向移动的不能算同一类。建设者该把「本周拦在第几段」写进例会。管平台的人，该拒收把提示注入写成查询注入同类项的风险评估。

人工智能提示投毒2026五步：七段建账、入口不当全防、记忆单独闸、间接路径要测、纵深覆盖生命周期

1. 必须按七段建账。只挡入口，方案作废。
2. 越狱只能算提权。把它写成唯一防护目标，方案作废。
3. 记忆和检索库必须单独闸。对话缓存当无所谓，方案作废。
4. 间接路径必须测。只测对话框直打，方案作废。
5. 图像音频指令必须纳入。只扫纯文本，方案作废。

上表对应「记忆投毒和横向移动更致命」。七段账的价值是让后段不再免费，不是多一张架构图。

现场还要防口号替换验收。把「已经能过滤提示」写成周报，不等于后五段有人看。若只能改一处：先把记忆层和检索库的写入权从默认可写改成可审计。

结论：人工智能提示攻击要按杀伤链防，不要再拿查询注入的药方套

入口只是第一段。仍只修过滤器，安全评审会先拒绝你。

你下次报一套人工智能应用防护，先写出七段各有什么闸、间接路径测了没、记忆能不能清；三格空着，过滤器名字先不要进材料。

现场还要防口号替换验收。把「已经能过滤提示、已经能训用户、已经能上代理、已经能合规、已经能信任助手」写成周报，不等于七段都有闸、观察层可核、规格按意图、钓鱼按档位、完整性有架构。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，入口过滤当全防、环内数据当干净、得分当意图、旧培训当够用、聊天当可托付五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：杀伤链后五段有没有闸、决策环三处完整性在不在、规格有没有反例、钓鱼威胁档定了没、助手有没有当双面代理。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

现场还要防口号替换验收。把「已经能过滤提示、已经能训用户、已经能上代理、已经能合规、已经能信任助手」写成周报，不等于七段都有闸、观察层可核、规格按意图、钓鱼按档位、完整性有架构。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，入口过滤当全防、环内数据当干净、得分当意图、旧培训当够用、聊天当可托付五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：杀伤链后五段有没有闸、决策环三处完整性在不在、规格有没有反例、钓鱼威胁档定了没、助手有没有当双面代理。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源