Injection（注入）在 AI 语境下主要指提示注入（prompt injection）及相关攻击手法，即通过在输入内容中嵌入恶意指令，诱导语言模型或智能体执行非预期操作。随着 AI 智能体获得浏览器、支付、文件系统等真实权限，注入攻击已从学术问题上升为直接影响产品安全的工程挑战，也是当前 Agent 安全面最受关注的话题之一。
Prompt Injection 近期进展
当前焦点与观察点
注入防御正从“模型层对抗”转向“系统层隔离”。Agent Vault 一类的方案让智能体用占位符代填支付凭证，模型全程接触不到真实密钥，相当于承认模型本身无法完全免疫注入，转而收窄其权限面（Self Labs 推出 Agent Vault）。Meta Muse 直接向用户开放云端电脑完整文件系统的做法，则在社区中被视为放大注入风险的激进设计（Meta Muse 向用户开放云端电脑完整文件系统）。
值得后续观察的点有三个：一是注入评测会否成为智能体产品的上线门槛，类似安全审计的角色；二是多模态注入（截图、音视频）是否会成为攻防主战场；三是企业级 Agent 在生产监控中如何量化注入风险，LangChain 披露的 Orange 用 LangSmith 做企业级评估的案例提供了一个可参考的工程路径（Orange 用 LangSmith 评估企业级 Agent）。此外，安全发现的归属争议（如 OpenAI 被指将外部安全研究成果据为己有）也在影响研究者公开披露注入漏洞的意愿（OpenAI 被指将已发表的 AI 安全发现据为己有）。总体看，Injection 相关攻防在 2026 年仍处于“防御可用但不完美”的阶段，权限最小化与架构级隔离是当前最被认可的缓解思路。