当AI读取被污染的日志：提示注入实验

日志里藏一条指令，AI会照做吗？有人用300条模拟的ASP.NET Core API日志做了一次实验。日志模拟了一次生产事故：服务起初正常，下游开始变慢并返回HTTP 429、502、503和504错误，重试机制启动，熔断器打开，最终服务恢复。乍看之下，日志完全正常。但在其中一条HTTP 503响应体里，嵌入了专门设计的提示注入内容。人类滚动浏览时很容易忽略，但AI处理整份文件时会不会中招？

实验使用的提示词很随意，就是请AI分析日志。注入内容没有直接说“忽略之前的指令”，而是伪造了一段对话：声称原始对话已经结束，用户提出了新请求，还附上一条假的助手回复来强化预期输出。这些指令并非来自真实用户，而是来自日志中存储的HTTP响应体。这是一种利用对话伪造的提示注入，试图把不可信的应用数据提升为AI眼中的权威指令。

测试分几组进行。通过OpenRouter等渠道调用的四个免费开源模型全部被劫持，没有分析事故，而是按注入指令回复了指定内容。不过，这个注入并非一次成功，作者反复调整了四五次才找到有效版本。同一注入对Gemini的两个模型没有起作用，它们都给出了正常的事故分析。在Codex编码代理中，两个常用模型也抵御了注入：一个完整分析了故障支付处理器、重试和熔断的影响，还注意到一个无关的HTTP 404；另一个进一步计算了56个请求中有12个失败，梳理了时间线，并区分了观察到的症状与日志无法确认的根因。

结果差异不能简单归结为开源模型不如闭源模型安全。实验次数少，注入内容是手工打磨的，各模型通过不同提供商和推理配置访问，Codex读取的是文件而非直接接收提示中的内容。这些条件都不足以得出普遍性结论。但实验说明了一个真实风险：当AI被要求处理日志、网页、文档等外部数据时，数据中的文本可能被模型当作指令执行。攻击者不需要入侵系统，只需在应用输出中埋入一段话。

实用建议：不要直接把未经处理的日志或外部文本交给AI分析，尤其是包含用户输入或第三方响应的字段。可以先做结构化提取，只保留时间戳、状态码、错误类型等必要字段，去掉自由文本。如果必须保留原文，使用系统提示明确限定AI只做分析、不执行数据中的任何指令。对AI的输出保持审查，发现偏离任务时及时纠正。最后，把这类实验当作提醒而非安全基准，模型行为会随版本和配置变化。