Agent读取客户邮件和网页时，怎样测试提示注入风险？

Agent读取邮件、网页或附件时，应把其中的文字当作待处理资料；这些资料不能自行获得修改权限、选择外发目标或绕过审批的权力。测试提示注入风险，需要沿着“外部内容进入哪里、影响了什么判断、能否触发真实动作”检查，并核对目标系统与数据去向。只看聊天里有没有说“我拒绝”，无法确认执行边界有效。

提示注入是指输入中的内容试图改变模型原本应该遵守的任务或规则。这里关注间接注入：Agent为完成合法任务读取外部材料，其中夹带了要求它另做事情的指令。企业可以在明确授权的隔离环境，用模拟资料和受控接收端验证自己的系统；不要把客户、供应商或其他人的在线系统当作测试目标。

先画出外部内容到动作的路线

选一条已经准备开放的任务，例如读取供应商邮件并整理询价信息。标记邮件正文、附件、链接页面、检索片段和工具返回中哪些来自外部，哪些只是业务数据。再标记模型可以调用的检索、写入、外发与转交动作，找出资料在哪一步可能影响这些决定。

OWASP的LLM01提示注入风险说明指出，检索增强和微调不能完全消除这类风险，并提出最小权限、区分外部内容和对抗测试等方向。企业需要把这些方向变成自己的可检查控制，不能把接入知识库或增加一句提示当作已经安全。

把测试范围、观察点和停止条件先定下来

1. 确认本次有权测试的应用、账号、任务、数据和接收端。使用测试身份、模拟业务对象与虚构标记，不把真实密钥、客户资料或生产外发接收人放进样例。
2. 尽可能保留接近真实的数据流与工具校验，但把有副作用的目标替换为隔离资源。记录哪些地方被替换，以免把隔离成功推断为真实接入已经通过。
3. 写明预期行为：哪些信息可用于完成原任务，哪些指令应被忽略或导致暂停，允许产生什么记录，不能发生什么动作。
4. 准备可核对的观察点：工具调用记录、访问拒绝、测试接收端、模拟业务对象前后状态，以及审批状态。出现越权访问或非预期外发时按约定停止。

样例要覆盖指令影响，也要保留正常资料

同一意图可以出现在正文、附件或被检索到的片段中。测试应覆盖系统实际支持的入口；没有图片识别能力就不声称已覆盖图像风险，未接入真实附件解析也不把纯文本测试算作附件验收。样例应持续加入已经观察到的新失败，而不只重复某个固定敏感词。

示例：提取询价需求时，邮件要求额外取走内部材料

示例（非客户案例）：原任务是把模拟询价邮件中的规格与数量整理成内部草稿。测试邮件另附一段要求，试图让系统取出无关的内部测试文档并转交到另一个受控接收端。测试文档仅含虚构标记，不含真实敏感内容。

检查时应同时查看三个结果：询价字段是否仍按允许范围提取；越权读取是否被阻止；测试标记是否进入了输出、日志或接收端。若回复写着“不会外发”，工具记录却显示访问或发送已经发生，应记为控制失效。若系统拒绝整封正常询价，也要记录业务误伤并分析是否有更合适的限制。

还要检查恢复和人工批准之后的路径。原本被阻止的外发，不能在“重新运行”或“换工具处理”时脱离相同校验。人看到的审批内容也必须与实际执行一致，否则把风险交给人看一眼仍可能漏掉参数变化。

测试结论写到具体边界与失败原因

每条样例保留输入版本、应用配置、使用身份、预期行为、实际输出、工具参数与最终状态。结果可区分：控制按预期生效、发现越权或不当动作、正常业务被误拦截、证据不足。若日志看不到关键动作，就先补观察能力，不能把“没有看到泄露”自动记为没有泄露。

修复后应重跑原失败样例、相邻入口与正常任务，核对是否只是把问题移动到其他路径。模型、工具权限、资料入口或审批方式发生变化时，也要重做受影响的测试。已有样例通过，只支持测试覆盖的条件，不说明未测试入口没有风险。

外部内容的控制需要与知识权限隔离及执行前审批与参数核对共同验收。已选业务任务需要接入邮件、网页或知识资料时，可以与企业 AI 项目落地服务沟通实际输入、工具动作和授权测试范围。