现实世界中的提示注入

一个追踪公开报道的提示注入技术的追踪器，涵盖大约过去两年，由 Rachel James (cybershujin) 维护。

每种技术都被拆解为提示注入的三个要素：

1. 投递方式 — 注入的指令如何到达模型（工具调用结果、外部网站、MCP 连接、文档、电子邮件、图像等）。
2. 编码 — 对载荷施加的混淆（如果有的话）（Base64、leet 语、不可见 Unicode 标签字符、同形字……）。当载荷为纯文本或报告未说明时留空。
3. 传播行为 — 注入是否被设计为扩散或持久化（投递给任何连接到被投毒 MCP 服务器的人、持久化在智能体的长期/项目记忆中、沿工具调用链传递、使其发出携带进一步指令的电子邮件……）。当没有传播时留空。

每条记录还记录了已确认对其有效的模型（如果有的话）、指向报告来源的链接，以及在已知情况下——攻击来源（其来源的研究人员、红队或现实世界中的行为者）。

实时仪表板： https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

---

范围与方法论

• 范围内： 将对抗性指令注入 LLM 或 LLM 驱动的智能体的技术，且已被公开报道——由安全研究人员、红队、供应商报道，或作为观察到的现实世界活动。直接和间接（数据承载）提示注入均包括在内。
• 范围外： 没有投递/传播机制的通用越狱词表、纯粹的模型对齐抱怨，以及没有技术实质的营销内容。
• 绝不猜测。 每个非空白单元格均取自所引用来源中的明确陈述。如果报告未说明编码、传播行为、已确认模型或攻击来源，则该单元格留空白——空白意味着*“未说明”，绝不是推断的“无”*。
• 审核。 每条记录标记为 Confirmed 或 Not fully vetted。“Not fully vetted”标记来源模糊、未经证实或机制不明确的记录——它被呈现出来而非丢弃，以便审核者判断。
• 证据类别——现实世界 vs. 研究。 每条记录标记为 In-the-wild（观察到的现实世界滥用或真实生产事件）、Research / red-team（安全研究人员或红队的演示 / 负责任披露——一种真实、有效的技术，但未观察到被攻击者滥用）、Vendor advisory 或 Unclear。这是与审核分开的一个维度：一种技术可以是 Confirmed（已验证且有效）但仅在实验室中演示过。请注意： 真正的现实世界恶意提示注入仍然很少被公开记录，因此这里绝大多数记录是研究 / 红队披露——在初始回填时，32 条中有 29 条是研究/红队，只有 3 条是现实世界。使用仪表板上的 Evidence 过滤器来隔离现实世界案例。
• 更新。 每月扫掠新报道（Perplexity sonar-deep-research，广撒网），并作为草稿拉取请求提交供维护者审核。不会自动合并。参见姊妹项目 Threat-Actors-use-of-Artifical-Intelligence 追踪器，了解应用于威胁行为者 AI 使用的相同工作流程。

数据如何构建

数据仅存在于下表中（此文件是唯一事实来源）。一个确定性的、无依赖的生成器（tools/build_exports.py）在每次提交时将其编译为：

• index.html — 交互式仪表板（通过 GitHub Pages 提供服务），
• tracker.json — 规范化的机器可读数据，
• stix/prompt-injection-stix2.1.json — 一个 STIX 2.1 捆绑包（每种技术作为一个 attack-pattern，标记有其 MITRE ATLAS ID 以及 Not fully vetted → 低置信度映射）。

不要手动编辑这三个文件；编辑表格并让 CI 重新构建它们。

---

技术