Anthropic 称已基本解决提示注入攻击

事件核心：发生了什么

8 月 9 日，Anthropic 研究员 Boris Cherny 在 X 上发文称，团队已经“基本解决了提示注入攻击的实际威胁”。所谓提示注入，指的是恶意网站或第三方内容在模型处理时混入伪指令，诱导 Agent 执行非用户本意的操作——例如在访问一个网页后，页面中隐藏的文本指示模型把用户 SSH 密钥发送到攻击者服务器。

Cherny 提到，早期的 Claude 模型确实会中招，这也是不少重视安全的企业对采用 Agent 保持谨慎的原因。他透露，Anthropic 通过模型训练来让模型识别并拒绝此类恶意指令，结果“出人意料地积极”。该结论不仅基于实验室评估，也来自内部红队测试，并附有由独立研究者创建的基准测试链接。

另一条同样来自 Cherny 的推文提供了更多技术细节：将模型训练、输入探测和意图分类器多层叠加后，针对未见过攻击样本的间接提示注入成功率可以降至接近 0%。他还预告，Claude Code 的自动模式将于下周起默认启用。

为什么重要

提示注入被视为 AI Agent 安全最难啃的骨头之一。Agent 与普通聊天机器人的本质区别在于它能调用工具、读取网页、操作文件——这也意味着一旦被注入指令劫持，损失可能是数据泄露级别的。过去一年多，尽管各家大模型在指令遵循能力上飞速提升，但指令遵循越强，模型往往越容易把隐藏在外部内容里的“假指令”当真，安全与能力的矛盾一直存在。

如果 Anthropic 所说的“实际场景基本解决”成立，它给行业带来的信号是：Agent 的自主性可以做，安全防护也能跟上，两者不必然是零和博弈。这也可能促使其他实验室调整训练目标，把“抵抗注入”纳入更核心的评估维度。

对用户/开发者/创作者的影响

对普通用户来说，Claude Code 等 Agent 工具在处理外部网页或文件时，被恶意站点“顺手牵羊”的风险会降低。尤其是在浏览器、终端这类高暴露场景中，安全边界变得更可预期。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

对开发者和企业团队，影响更直接：如果提示注入不再是主要顾虑，更多面向生产环境的 Agent 应用可以放心让模型“自动操作”，减少人工审批环节。那些原本因安全风险被搁置的自动化需求——如自动填表、自动调研、跨站操作——都有了重新评估的空间。

对正在构建 Agent 应用的创作者而言，目前公开信息显示 Anthropic 同时采用了训练层、输入探测层和意图分类层三种手段。第三方开发者可以借鉴这套思路，在自己的应用层添加推理时的安全过滤，而不必完全依赖模型本身的能力。

值得关注的后续

第一，基准测试的公开数据是否可复现。Cherny 提到的是“独立研究者创建的 benchmark”，其测试范围、攻击样本难度和评测方法是否透明，将直接影响外界对这一结论的信任程度。

第二，Claude Code 自动模式的真实表现。该模式默认启用后，用户在实际使用中遇到的安全问题频率，会比任何实验室评估都更有说服力。

第三，其他大模型厂商是否会跟进。如果 OpenAI、Google 或开源社区在下一轮模型版本中把“提示注入鲁棒性”单列为卖点，将意味着这一方向从论文议题变成了产品竞争力的标准配置。

来源：X：Boris Cherny (@bcherny)