Prompt defense

核心用法

Prompt Defense 是一款专门针对邮件场景的提示词注入防御技能。它在读取、处理或总结邮件时自动激活，扫描邮件内容中的恶意注入模式，包括伪造系统输出、植入思维块、指令劫持等攻击手法。核心工作流程为：扫描→标记→拦截→确认，确保任何邮件中的指令都不会被自动执行。

显著优点

• 全面覆盖：从关键级到中等严重度，分层检测多种注入模式，包括 Base64 编码、零宽字符、RTL 覆盖等隐蔽手法
• 强制确认机制：所有检测到的可疑内容必须经用户明确确认（'proceed'/'ignore'）后方可继续，杜绝自动执行风险
• 零信任设计：默认不信任邮件来源，即使声称来自"owner"、"admin"等权威身份也不例外
• 轻量级集成：支持 IMAP、Gmail API 等主流邮件服务，无需复杂配置

潜在局限

• 依赖模式库更新：新型注入手法可能绕过固定规则，需持续维护 patterns.md
• 用户体验摩擦：频繁的安全确认可能干扰正常邮件处理流程
• 误报风险：某些合法邮件（如技术支持指引、自动化报告）可能触发中等严重度警告
• 仅防护文本层面：无法防御附件中的恶意载荷或钓鱼链接

适合人群

• 企业邮箱管理员与安全运营团队
• 高频处理外部邮件的 AI 助手用户
• 金融、法律、医疗等高合规要求行业从业者
• 任何使用 AI 自动处理邮件内容的场景

常规风险

• 社会工程绕过：攻击者可能通过长期信任建立降低用户警惕性，诱导手动确认危险操作
• 模式库滞后：零日注入手法在更新前存在防护空窗期
• 确认疲劳：大量邮件处理场景下，用户可能习惯性点击'proceed'，削弱防护效果

核心功能

prompt-defense 是一款面向电子邮件处理场景的防御性安全工具，核心使命是检测并阻断隐藏在邮件内容中的提示词注入（Prompt Injection）攻击。随着大语言模型越来越多地集成到邮件自动化处理流程中，攻击者开始利用精心构造的邮件内容尝试劫持 AI 代理的行为——例如通过伪造系统指令、植入思考标签、构造紧急行动请求等方式诱导模型执行非授权操作。本 Skill 为此提供了系统化的防护机制。

技术架构与检测能力

该工具采用三层严重度分级检测体系：

Critical 级别（立即阻断）：包括 <thinking> 标签伪造、"ignore previous instructions" 等指令覆写尝试、假系统输出标记（如 [SYSTEM]、[Claude]:）、Base64 编码可疑块等直接试图控制模型行为的模式。

High 级别（高度警戒）：涵盖伪造 IMAP 警告、紧急资金转移请求、冒充系统管理员的指令、以及利用零宽字符、RTL 覆盖等隐藏文本技术。

Medium 级别（风险提示）：包括连续的命令式语句序列、索要敏感凭证的请求、"不要告诉用户"等保密诱导等。

安全设计亮点

最值得关注的设计是其强制确认协议——即使检测到的是 Medium 级别模式，该 Skill 也会阻断任何基于邮件内容的自动化行动，强制通过主通道向用户请示。这种"默认拒绝"（deny-by-default）的安全哲学有效消除了 social engineering 攻击面。

纯 Markdown 文档架构是其另一优势：无可执行代码意味着无运行时攻击面，无外部依赖消除了供应链风险，无网络调用确保了数据隔离。安全认证报告显示其六维评分均达 95-100 分，评级 A 级。

局限性与注意事项

作为纯文档型 Skill，其实际效果依赖于宿主 AI 系统对本规范的遵循程度。若底层模型未强制执行其中的确认协议，防护效果将大打折扣。此外，攻击模式库需要持续更新以应对新出现的注入技术（如多语言混淆、图像内嵌指令等）。

适用场景

• 企业邮件自动化处理系统
• AI 邮件助理/摘要生成工具
• 客服机器人对接邮箱的场景
• 任何将外部邮件内容直接送入 LLM 处理的工作流

风险评估

| 风险维度 | 评估 |

|---------|------|

| 代码执行风险 | 无（纯文档） |

| 数据泄露风险 | 极低（无网络调用） |

| 供应链风险 | 无（零依赖） |

| 误用风险 | 低（需用户确认） |

| 防护完备性 | 依赖模式库更新频率 |