HiddenLayer 解析 LLM 角色机制与提示注入攻击面
Inside the Prompt: How LLMs Learn Roles, Follow Instructions, and Get Exploited
AI 导读
HiddenLayer 梳理了指令微调 LLM 如何通过控制 token、角色划分和指令层级区分 system、user、assistant 三类角色，并说明开发者如何用 system prompt 和 XML 风格模板约束模型行为。文章随后指出这些机制本身构成攻击面，包括控制 token 注入、伪造上下文重置、推理 token 滥用和 XML 提示词伪造，攻击者可借此抬高输入在指令层级中的优先级或覆盖开发者意图。文中以 GPT-4o 的 tokenization 为例说明特殊 token 与普通词表 token 共享 ID 的现象，并引用对 Gemini for Workspace、DeepSeek-R1 和 Cursor 的评估案例，展示用 <eos><bos> 重置上下文、用 <user_info> 标签注入仓库内容等手法。