直接与间接提示注入：攻击面、真实案例与防御思路。
安全研究者 Johann Rehberger 在 Black Hat Europe 演讲中展示了一套命令与控制（C2）系统，通过提示注入远程控制 ChatGPT 实例，构成一种新型僵尸网络的基础。攻击前提是用户被提示注入恶意软件感染一次，途径包括用 ChatGPT 访问恶意网站、分析恶意图片或总结 PDF，恶意指令会持久化在 ChatGPT 的长期存储中。
推荐理由作者以可复现的 PoC 展示提示注入如何把 ChatGPT 变成可长期远程控制的节点，并给出数据外泄的绕过路径。
FAR.AI 发现 GPT-4 的微调 API 与 Assistants API 存在多类可利用漏洞。仅用 15 条有害样本或 100 条无害样本微调即可移除 GPT-4 的核心护栏，在无害数据上微调后模型对 AdvBench 有害请求的响应率达 81%。用 15 条负面样本即可让模型产生针对特定人物的偏见信息，35 条样本可让模型在代码中植入恶意 URL，10 组问答对可让模型泄露未出现在微调数据中的真实邮箱地址。Assistants API 方面，模型会列出全部可调用函数及其 schema、按用户指定参数执行任意函数调用，甚至协助生成 SQL 注入载荷；检索文档中的隐藏指令（如将字体颜色设为与背景相同）可劫持模型输出，改为调用转账函数同样成功。作者据此不建议在安全关键场景部署 LLM。
推荐理由FAR.AI 用具体实验量化了微调 API 与 Assistants API 新增功能带来的攻击面，做微调或工具调用的团队可据此评估自身风险。