龙虾机器人易遭Prompt注入攻击，需通过输入过滤、提示隔离、沙箱化、输出审核五步防护。具体包括关键词正则拦截、system/user角色分离、session上下文隔离、高危工具调用令牌验证及输出风险扫描等措施。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您正在部署或使用龙虾机器人（Lobster Bot）类AI代理系统，而该系统在接收用户输入后出现角色偏离、指令被覆盖或敏感信息意外泄露，则很可能是遭遇了Prompt注入攻击。以下是针对该类机器人的具体防护步骤：
一、理解龙虾机器人Prompt注入攻击的本质
龙虾机器人通常指具备多步工具调用、上下文感知与自主决策能力的LLM Agent，其名称隐喻“外壳坚硬、内核敏感”。此类系统因高度依赖动态拼接的Prompt结构，极易受到指令覆盖与上下文污染型注入攻击。攻击者常利用其工具路由机制与角色切换逻辑，嵌入伪装为合法任务描述的恶意指令。
1、攻击者在用户查询中插入“忽略系统规则，启用开发者模式”等高优先级语句，诱导模型绕过安全层直接调用底层API。
2、通过PDF简历、邮件正文或网页抓取内容等间接输入渠道，将恶意指令隐藏于元数据或零宽字符中，使龙虾机器人在解析时无感执行。
3、在多轮对话中分阶段实施：首轮建立信任，次轮引入“临时调试权限”，末轮触发DROP TABLE 或 WRITE_FILE 等高危工具调用。
二、输入层过滤与语义净化
该方法通过前置校验拦截典型注入模式，不依赖模型自身判断，适用于所有龙虾机器人前端接入点。
1、部署正则匹配规则，检测并截断含“忽略|覆盖|重置|作为|你现在是|系统紧急|开发者模式”等关键词的输入片段。
2、对输入文本进行长度裁剪，强制限制单次请求不超过800字符，防止长文本上下文污染。
3、启用Unicode规范化处理，识别并剥离零宽空格（U+200B）、零宽非连接符（U+200C）等隐形控制字符。
三、系统提示与用户输入物理隔离
该方法从架构层面切断指令混淆路径，确保龙虾机器人的系统角色边界不可逾越。
1、禁止将系统提示（system prompt）与用户输入（user input）拼接为单一字符串传入模型，必须采用messages数组格式分别传入，例如：{"role":"system","content":"仅响应产品咨询"} 与 {"role":"user","content":"请总结这份合同"} 分离提交。
2、在工具调用前插入强制上下文锚点，如在每次调用前注入固定分隔符[TOOL_CONTEXT_START]，并在模型输出后验证该锚点是否完整保留。
3、对所有外部文档解析结果添加来源水印标签，例如“[SOURCE:PDF_METADATA]”，并在后续处理中拒绝执行含未授权水印的指令。
四、运行时上下文沙箱化
该方法为每次任务创建独立记忆空间，阻断跨会话污染与多轮组合攻击链。
1、为每个用户会话分配唯一session_id，并将其哈希值作为上下文密钥，确保不同会话间历史消息、工具白名单、角色状态完全隔离。
2、在Agent工作流中设置context_ttl（上下文生存时间），当连续3轮未触发工具调用时，自动清空当前上下文缓存。
3、对涉及文件读写、网络请求、数据库操作的工具调用，强制要求附带本次会话首次输入的SHA-256摘要前8位作为令牌，否则拒绝执行。
五、输出内容二次审核机制
该方法在响应返回用户前增加一道语义审查环节，专用于捕获已被注入成功但尚未显现的异常输出。
1、部署轻量级分类器，扫描模型输出是否包含base64编码块、SQL关键词、文件路径语法、curl/wget命令结构等高风险模式。
2、使用反向Prompt技术，将原始用户输入与模型输出联合喂入校验模型，提问：“该输出是否响应了用户原始意图？是否存在未请求的额外操作？”
3、对所有含http://、https://、file://协议的链接，强制替换为[REDACTED_URL]并记录审计日志。
