* 起点：用户输入与系统指令拼进同一提示词，输入边界失控 * 关键步：覆盖系统指令、诱导输出 RAG 检索数据，经带外通道或渲染间接外带 * 终点：越权知识库 / 业务数据外带 * 最终定级：高危（数据泄露）。仅成功覆盖语气、未带出数据不定级 ### 一、业务背景 AI 应用把系统指令、检索内容、用户提问拼进同一段提示词交给模型。用户输入若不与系统指令做语义隔离，攻击者可用一段输入覆盖原本的系统约束，诱导模型把 RAG（检索增强生成）知识库或业务数据读出来。直接打印被拦截时，还能借带外回调、Markdown 渲染等间接方式把数据送出。本链是输入边界失控导致的数据泄露，不涉及模型本身被接管。 ### 二、系统拓扑 * 输入拼接层：系统指令、检索片段、用户提问合并为提示词。 * 模型：按拼接后的提示生成回答。 * RAG 检索：向量库与原文数据源，按问题召回片段。 * 带外通道：回调地址、图片链接等模型之外的输出路径。 * 信任边界：系统指令与用户输入混在同一上下文，模型无法天然区分 "命令" 与 "数据"。 ### 三、角色与账号 * 普通用户：可向模型