Prompt Injection 防護怎麼驗收？以供應商郵件助理為例

能讀郵件的 AI 助理也會看到第三方的操作要求。採購團隊可以從唯讀摘要著手，檢查工具權限、核准範圍與事件紀錄，再決定要不要開放寫入功能。

專題編輯：Iris Hsieh｜AI 資安與治理編輯

營運主管批准 AI 助理摘要供應商信件，資安主管要能從權限設定與日誌確認任何外發動作都受到控制。以下以虛構的採購流程示範驗收表，把檢查重點放在工具實際能做什麼，以及誰有權核准。

問題不只是聊天機器人被騙

AI Agent 讀取網頁、郵件、PDF、資料庫查詢結果後，可能再呼叫工具做出操作。原本只是文件中的字串，一旦被錯誤當成工作指令，風險就從回答不準確擴大到寄信、改資料、開單、外部傳輸與批准交易。

什麼叫信任邊界

開發者規則、已登入使用者的授權請求、外部檢索材料、模型中間回應，應處於不同信任層級。外部網頁的內容即使寫著「我是系統管理員」，也不能因此取得系統權限。技術控制應在程式與授權服務中生效，不由模型自行決定是否破例。

直接與間接提示詞注入

直接注入通常在與模型互動的輸入中試圖改變行為；間接注入把惡意文字藏在文件、第三方網頁、搜尋片段、工具回傳或共享知識庫內。兩者都需要辨認不可信指令，但後者常因為出現在正常工作流程而更難察覺。［1］

供應商摘要的權限範圍

採購人員核准的任務只有整理交期。來源欄位顯示交期出自哪封郵件，工具權限限定讀取指定信箱及產出摘要。若後續需要寄送摘要，應由有權限的人確認收件者、附件與正文後再發送。

知識庫資料如何送交人工核對

知識庫文件即使符合搜尋條件，也應核對版本、維護者與可用範圍。當文件內容與正式流程衝突時，摘要列出差異並交資料負責人判定。查詢範圍與工具操作能力應由服務端限定。

為什麼多加一層 Prompt 不夠

提示詞能提醒模型將資料與指令分開，但模型接收的資料仍可能包含語意偽裝、角色扮演、跨語言或看似正式的權威敘述。OWASP 的建議強調輸入輸出控制、最小權限、外部內容隔離與高風險人工核准；不能把防禦全部寄託給單段 system prompt。［1］

權限最小化是核心

查詢客服 FAQ 的 Agent 不應具備刪除客戶資料權限；摘要郵件的 Agent 不應預設能寄信到陌生外部網域。將讀取、修改、刪除、對外傳輸與付款拆成明確的服務權限，並設定使用者身分、資產範圍和有效期限。

高風險動作的二次核准

建立白名單、參數檢查、金額門檻、雙人覆核或人工確認。核准畫面必須清楚顯示 Agent 將修改的資料、對象、原因、來源與預期後果，而不是只顯示模糊的「是否繼續」。核准後仍要在伺服器再次檢查權限，防止畫面資訊與實際參數不一致。

用權限與事件紀錄驗收

盤點唯讀摘要角色的實際權限，核對它只能讀取分配的郵件範圍。發送、匯出與修改要有獨立授權及清楚的人工核准紀錄。驗收時記下服務端授權結果、發送回執與異常通知，讓承辦能從日誌重建事件。

量測哪些控制指標

列出不安全工具呼叫率、未授權資料存取成功率、敏感資訊外傳率、誤拒正常任務率、人工審批負荷與防護引入的延遲。測試時要區分攻擊者獲得哪些權限、環境和工具，否則不同產品的結果不能直接比較。

事件調查與回滾

日誌至少保留請求 ID、任務與資料來源 ID、工具呼叫、審批決策、權限檢查結果、異常回應與模型版本；涉及個資應適當遮蔽與訂定保存期限。發現問題時能先停用高風險工具，撤銷權杖並回復可逆操作。

搭配既有 Guardrails 指南

本站的 Guardrails 企業實作指南 已整理輸入、檢索、工具與執行控制。本文提供採購郵件摘要的驗收範圍，把檢查集中在角色權限、授權紀錄與營運接手。

讀者下一步

先盤點 AI 助理可以讀的郵件、可以用的工具、需要人員核准的動作與會留下的事件紀錄。以唯讀摘要為第一個驗收範圍，其他權限依明確的工作需要逐項評估。

查證來源

1. OWASP LLM01:2025 Prompt Injection。
2. OWASP GenAI LLM Top 10 2026。

本文由 AI 輔助整理。案例為教學用的虛構情境。