企业 AI 智能体提示词注入检测与防御工具对比指南

当 AI 智能体能够发送电子邮件、更新 CRM、修改记录或触发工作流时，提示注入就变成了另一种安全问题。检测恶意指令固然重要，但控制检测漏掉时会发生什么同样重要。

本指南比较了 10 款工具，覆盖生产级智能体所关注的关键层面：红队测试、生产检测、护栏、网关控制和操作授权。它重点关注每项控制运行的位置、保护的对象，以及还需要哪些额外层面。

TL;DR

• 面向云原生的生产筛查：Microsoft Azure Prompt Shields、Amazon Bedrock Guardrails 和 Google Cloud Model Armor 在各自的云生态系统中提供托管控制。
• 面向模型无关的托管或自托管筛查：Check Point AI Guardrails 支持 SaaS、私有云、本地部署和空气隔离部署。
• 面向自托管分类：Meta Llama Prompt Guard 2 将提示注入检测保留在团队自己控制的基础设施内。
• 面向部署前测试：NVIDIA garak、Microsoft PyRIT 和 promptfoo 覆盖漏洞扫描、红队场景和回归测试。promptfoo 还延伸到 Enterprise 生产护栏。
• 面向可编程的应用护栏：NVIDIA NeMo Guardrails 围绕输入、输出、检索、对话和工具调用提供可配置的控制。
• 面向执行业务操作的智能体：Arcade.dev 会依据用户权限、智能体范围以及你现有的和自定义的策略，检查通过它路由的每一次工具调用，因此即使注入的指令绕过了检测器，仍然无法执行这些规则所拒绝的操作。

快速比较：一览式摘要

提示注入控制根据运行位置分为四组。部署前扫描器和红队框架在发布前测试模型和应用程序。生产筛查工具在配置的位置检查实时提示、检索内容和输出。

网关和框架对其控制的流量和工作流应用策略。

操作边界控制（例如操作运行时）决定智能体在尝试执行操作时能够做什么。

我们如何评估这些工具

该评估比较产品能力、定价、模型卡、代码仓库、基准测试结果和已公布的延迟数据。通用内容审核 API 被排除在外，除非它们提供提示词注入、工具投毒、代理工作流或护栏特定能力。

在审查基准测试声明时，应寻找直接报告精确率、召回率、延迟、吞吐量或误报率的结果。已公布的数据不能作为通用排名，除非各工具是在完全相同的数据集、威胁模型、语言组合、输入长度和部署环境中测试的。

garak、PyRIT 和 promptfoo 等扫描器产生的是特定工作负载的红队发现，而非通用检测器准确率评分。团队应在其自身的提示词、RAG 数据、工具参数、语言、审批流程和生产延迟预算上验证入围工具。

标准 1：控制运行的位置

部署前、生产环境筛查、网关/框架或下游操作边界。

标准 2：间接注入检测或防御

该工具是检测直接提示词、检索文档、工具输出、网页、电子邮件、PDF 及其他不可信上下文中注入的指令，还是通过在注入得逞时限制智能体可执行的操作来防御它们。部署前扫描器在生产环境中两者都不做；它们在发布前测试暴露面。

标准 3：智能体工作流支持

RAG 扫描、工具调用检查、MCP/API 路径、编排兼容性以及生产路由。

标准 4：操作控制机制

该工具是仅检测或标记风险内容，还是能够阻止或验证工具调用，抑或在执行前执行身份感知的授权与策略强制。工具调用阻止与委托操作授权是不同的控制措施，不应视为等同。

标准 5：部署与运营适配性

SaaS、云原生、VPC、自托管、开放权重、网关、本地部署或气隙隔离。

标准 6：定价透明度与计费驱动因素

公开定价、用量单位、基础设施成本、模型调用成本、企业方案以及扩展驱动因素。

选项 1：Microsoft Azure Prompt Shields

最适合

• 在 Microsoft 生态内运行 Azure OpenAI、RAG 或工具调用应用的 Azure 原生工程团队。
• Azure Prompt Shields 为 Azure 原生环境提供托管式筛查，同时覆盖用户提示词和检索内容。

概述

Azure Prompt Shields 是 Azure AI Content Safety 的一部分，为第三方内容中的直接提示词攻击和间接提示词注入提供分类器。当周边应用、模型托管、日志记录和合规态势已经以 Azure 为中心时，它非常适用。

主要功能

• 用户提示词防护：筛查用户提供的提示词，识别越狱和对抗性指令。
• 文档防护：检查检索内容或第三方内容中嵌入的恶意指令。
• Azure AI 集成：直接适配 Azure OpenAI 和 Azure AI 应用架构。
• 托管 API 部署：通过 Azure 的托管服务提供筛查。
• 企业平台控制：融入 Azure 更广泛的身份、日志、网络和合规生态。

定价

• Azure 按每 1,000 条文本记录对标准层 Prompt Shields 计费；显示费率因区域和客户协议而异。
• 一条文本记录最多包含 1,000 个 Unicode 字符。
• 免费层每月提供 5,000 条文本记录。

主要优势

• 面向 Azure 应用的 Azure AI Content Safety 原生控制。
• 同时覆盖直接和间接提示词注入模式的专用能力。
• 可通过 Azure 托管 API 和预览版容器部署使用。

适配性不足之处

• 最适合 Azure 架构。多云团队必须验证路由、延迟、区域可用性和数据驻留要求。
• Azure Prompt Shields 筛查内容并返回 attackDetected 信号，但不提供下游操作授权。

选项 2：Check Point AI Guardrails（Lakera Guard）

最适合

• 希望为生产流量提供模型无关安全层的多云企业团队。
• Check Point AI Guardrails 在 SaaS、私有云、本地部署和气隙隔离部署模型中提供生产筛查。

概述

Check Point AI Guardrails 将 Lakera Guard 作为安全层纳入，用于防范提示词、RAG、智能体和 MCP 风险。它既可以作为托管服务运行，也可以部署在客户控制的基础设施中，包括私有云、本地部署和空气隔离环境。

主要功能

• 提示词注入检测：筛查提示词和应用流量中的对抗性指令。
• 越狱防护：Check Point AI Guardrails 通过其检测栈检测越狱和绕过尝试。
• 基于 API 的集成：位于模型提供商或应用端点之前。
• 数据泄露控制：支持检测敏感数据暴露。
• 智能体和工具控制：筛查智能体交互和工具响应，并通过 Agent Behavior Defense 控制偏离任务的行为以及工具允许/拒绝策略。

定价

• Check Point 通过其企业销售流程提供 AI Guardrails 定价。

主要优势

• 面向生产环境 LLM 和智能体流量的商业护栏。
• 支持模型无关和多云架构。
• Check Point 为 SaaS 部署维护检测栈；自托管客户可以在自己的基础设施中运行筛查栈。

适用性不足之处

• 已发布的性能数据，包括检测率、延迟、误报和语言覆盖范围等声明，需要针对具体工作负载进行验证。
• Check Point AI Guardrails 可以对智能体交互和工具调用执行安全策略。其控制点是围绕智能体流量的安全层，而不是负责委托最终用户授权、凭据处理和工具执行的操作运行时。

方案 3：Amazon Bedrock Guardrails

最适合

• 在 Amazon Bedrock 之上或围绕其构建生成式 AI 应用的 AWS 中心型组织。
• Amazon Bedrock Guardrails 在 AWS 中结合了提示词攻击过滤、拒绝主题、敏感数据控制和接地检查。

概述

Amazon Bedrock Guardrails 是一项托管的 AWS 护栏服务，用于对生成式 AI 应用应用安全、隐私和策略控制。其 ApplyGuardrail API 通过配置的护栏评估内容，支持 单一模型调用路径之外的用例。

AWS 还为智能体工作流提供了 InvokeGuardrailChecks，允许应用在智能体循环的特定点运行单个护栏检查，而不会自动阻止请求。

主要功能

• 提示词攻击过滤：原生 InvokeModel 和 Converse 过滤会评估标记的用户输入，但不会自动检查工具结果或工具定义。InvokeGuardrailChecks 可以对在智能体循环不同步骤中显式提交的内容运行提示词攻击检查。
• 拒绝主题：阻止组织定义的受限主题领域。
• 敏感信息过滤器：检测或编辑 PII 及其他敏感数据。
• 上下文接地检查：验证响应是否基于提供的上下文。
• 护栏 API：ApplyGuardrail 可以强制执行配置的护栏，而 InvokeGuardrailChecks 提供仅检测的防护措施，应用可以在智能体工作流的各个步骤中调用，并用于阻止、重试、放行或记录。

定价

• 通过 InvokeGuardrailChecks 进行的提示词攻击检查为每 1,000 个文本单元 0.08 美元。
• 内容过滤器为每 1,000 个文本单元 $0.07，敏感信息过滤器为 $0.10，上下文接地检查为 $0.10。
• 一个文本单元最多包含 1,000 个字符。

主要优势

• 直接与 AWS 原生 AI 应用和 IAM 控制的架构集成。
• 将提示注入相关控制与更广泛的隐私和响应质量护栏相结合。
• AWS 运营护栏服务；团队配置防护策略和应用集成。

适用性不足之处

• 多云团队必须测试跨云延迟、路由复杂性和数据传输影响。
• Bedrock Guardrails 评估内容和策略。下游业务操作的委托授权仍由应用程序或操作运行时负责。

最适合

• 受监管、隐私敏感或气隙环境，其中提示和检索内容无法发送到外部 API。
• Llama Prompt Guard 2 为能够运行开放权重分类器的团队提供自托管的提示注入分类。

概述

Llama Prompt Guard 2 是一个用于识别提示注入的开放权重分类器和越狱尝试。它适合希望将检测完全保留在自己的基础设施内，而不是调用托管安全 API 的团队。

主要功能

• 开放权重模型：根据适用的 Meta Llama 社区许可条款，在受控基础设施中部署。
• 攻击分类：评估文本中的注入式对抗指令。
• 模型变体：提供 86M 和 22M 参数分类器。两者都支持 512 个 token 的上下文窗口。
• 基于概率的输出：生成分类器分数，团队可以设置阈值并进行调整。
• 自托管部署：支持私有推理、特定领域评估和内部监控。

定价

• 根据适用的 Meta 许可，模型权重不收取按使用量计算的供应商 API 费用。
• 运营成本取决于托管、推理基础设施、监控和工程运营。

主要优势

• 自托管推理将筛查保留在团队控制的基础设施内。
• 团队在自己的环境中控制托管、模型版本、阈值和评估。
• 支持组织特定的测试和阈值调整。

适用性不足之处

• 需要 MLOps 资源来部署、扩展、监控、更新和评估。
• 两个变体都有 512 个 token 的上下文窗口，因此较长的文档和工具负载需要在筛查前进行分段。
• 该模型仅提供分类；下游操作执行需要单独的应用程序或操作运行时层。

选项 5：NVIDIA garak

最适合

• 安全团队、红队和平台团队将自动化 LLM 漏洞扫描添加到开发和发布工作流中。
• garak 为 LLM 应用提供部署前对抗性探测。

概述

garak 是一个开源LLM 漏洞扫描器，对模型和应用程序运行对抗性探测。它用作部署前或回归测试工具，而不是内联生产防御。

主要功能

• 对抗性探测库：包括提示注入、越狱、幻觉和泄漏测试。
• 自动化测试执行：对配置的目标运行可重复的扫描。
• 插件架构：支持不同的生成器、检测器、探测器和测试框架。
• CLI 与结构化报告：从命令行运行可重复的扫描，并生成详细报告、命中记录和调试日志。
• 结构化发现：生成可供安全团队审查和分类处置的输出。

定价

• 在 Apache-2.0 许可证下免费且开源。
• 模型 API 调用、托管、基础设施和测试执行仍为单独费用。

主要优势

• 支持基线漏洞扫描和可重复的回归检查。
• 帮助团队在生产部署前识别弱点。
• garak 的探针覆盖范围通过社区贡献不断扩展。

适用性不足之处

• garak 无法在生产环境中阻止实时的提示注入攻击。
• 发现结果需要安全专业知识来解读、排定优先级并转化为修复工作。

选项 6：Microsoft PyRIT

最适合

• 在部署前运行结构化对抗场景的企业红队和 AI 安全团队。
• PyRIT 为自动化和人工主导的红队工作流提供编排，而非生产环境中的内联检测。

概述

Microsoft PyRIT 是一个面向生成式 AI 系统的开源 红队编排框架。它为部署前或回归测试协调对抗场景、目标、评分和多轮策略。

主要功能

• 场景编排：支持自动化和人工主导的对抗测试工作流。
• 多轮策略：支持跨多次模型交互展开的攻击。
• 自定义目标：可针对不同模型、应用或端点进行配置。
• 记忆与评分：跟踪交互历史，并使用可配置的评分器评估结果。
• CLI 与 GUI 支持：为红队提供多种运行和审查测试的方式。

定价

• 在 MIT 许可证下免费且开源。
• 模型调用、基础设施、存储和测试执行仍为单独费用。

主要优势

• 为红队工作流支持可重复的对抗场景管理。
• 同时支持自动化和人在回路测试。
• 同时支持单轮和多轮攻击策略，包括 Crescendo、TAP 和 Skeleton Key。

适用性不足之处

• PyRIT 不是内联的生产检测器或阻断控制措施。
• 结果在很大程度上取决于场景设计、目标配置、评分器和红队专业知识。

选项 7：promptfoo

最适合

• 希望在常规开发工作流中开展安全与质量评估的 AI 开发者和 QA 团队。
• promptfoo 在 PR 检查和 CI 流水线中支持提示注入回归测试，并提供 Enterprise Adaptive Guardrails 用于生产环境强制执行。

概述

promptfoo 是一个面向 LLM 应用的评估和红队测试框架。它让团队可以在配置中定义测试、提供商、断言和对抗用例。

promptfoo Enterprise 还提供用于生产环境强制执行的 Adaptive Guardrails，包括针对模型输入、输出、工具调用输入和工具调用输出的策略。

主要功能

• 声明式 YAML 配置：定义提示、提供商、测试和断言。
• 红队测试生成：支持针对 LLM 应用的对抗测试工作流。
• CI/CD 集成：可在 GitHub Actions、GitLab CI 及类似流水线中运行。
• 广泛的提供商支持：跨商业 API、本地模型和自定义端点进行测试。
• 回归跟踪：帮助团队衡量提示注入暴露随时间的变化。
• 自适应护栏：企业护栏可以阻止或标记模型流量，并验证结构化工具调用的输入和输出。

定价

• Community CLI 免费，每月包含最多 10,000 次红队探测。
• Enterprise 和本地部署方案采用自定义定价。

主要优势

• 将 LLM 安全评估和红队测试集成到开发者和 CI 工作流中。
• 在同一工作流中结合输出质量检查和安全断言。
• 为开发者工作流使用配置驱动的测试和 CI 集成。

适用性不足之处

• Adaptive Guardrails 是一项 Enterprise 功能，必须集成到模型或工具调用路径中。其工具调用策略提供的是护栏强制执行，而非委托的最终用户操作授权。
• 多轮代理工作流和复杂的工具调用路径需要大量前期配置。

选项 8：Google Cloud Model Armor

最适合

• 希望获得原生提示、响应及受支持的代理流量筛查的 Google Cloud 和 Vertex AI 团队。
• Model Armor 在 Google Cloud 集成中提供托管的提示、响应及受支持的代理流量筛查。

概述

Google Cloud Model Armor 是一项用于检查 AI 提示和响应的托管安全服务。它通过其 REST API 和受支持的 Google Cloud 集成，支持提示注入、越狱、敏感数据及相关模型安全控制。

受支持的集成将 Model Armor 扩展到代理网关和 MCP 路径中，使其能够以内联方式检查和阻止受支持的流量。

主要功能

• 提示检查：筛查用户输入的安全和安保风险。
• 响应检查：在模型输出返回给用户或系统之前对其进行评估。
• 注入和越狱检测：在配置的位置应用 Google 托管的过滤器。
• 敏感数据控制：检测或处理受保护数据。
• 代理和 MCP 集成：受支持的集成可以检查和阻止提示、响应以及受支持的代理或 MCP 流量，包括 MCP 工具调用和响应。
• Google Cloud 集成：可与 IAM、日志记录、网关和安全运营工具配合使用。

定价

• 单独购买时，Model Armor 每月包含最多 200 万个 token，无需付费。
• 超出部分为每 100 万个 token 0.10 美元。

主要优势

• 为 Google Cloud AI 环境提供原生集成。
• 通过其 REST API 和受支持的 Google Cloud 集成提供托管筛查。
• 与 Google Cloud 日志记录、网关和安全基础设施集成。

适用性不足之处

• Model Armor 通过其 REST API 和受支持的网关集成，支持跨云的模型和工作负载，但功能因集成方式而异。REST API 仅提供检测器功能，而受支持的 Google Cloud 集成可以提供内联阻止。
• Model Armor 独立评估提示和响应，不维护多轮交互中的对话历史。
• Model Armor 提供筛查和内联策略强制执行，而非委托的下游操作授权。

选项 9：NVIDIA NeMo Guardrails

最适合

• 构建复杂 RAG、对话和代理编排流程的高级 AI 工程团队。
• NeMo Guardrails 提供对对话流程、验证和策略行为的可编程控制。

概述

NVIDIA NeMo Guardrails 是一个开源框架，用于围绕 LLM 行为定义应用级护栏。它将分类器和规则集成到输入、输出、检索、对话和执行流程中，但团队必须自行设计和运维这些控制措施。

主要特性

• Colang 策略语言：定义对话和行为规则。
• 输入护栏：在模型执行前验证或筛查用户输入。
• 输出护栏：在返回模型响应前对其进行检查。
• 检索护栏：围绕 RAG 工作流添加控制措施。
• 执行与工具护栏：可验证已配置的自定义操作、工具调用、参数和结果；身份验证和授权仍由应用负责。
• 可插拔集成：在配置的位置连接到外部分类器或自定义逻辑。

定价

• 在 Apache-2.0 许可证下免费且开源。
• 成本来自托管、工程时间、模型推理以及任何连接的商业服务。

主要优势

• 可针对复杂的多轮和 RAG 应用进行定制。
• 支持可配置的输入、输出、检索、对话、执行和工具护栏。
• 可组合 Colang 流程、自定义 Python 操作、分类器和第三方护栏服务。

适用性不足之处

• 工具调用验证通过可选的 IORails 引擎运行，该引擎目前处于实验阶段，并支持 OpenAI Chat Completions 通信格式。
• IORails 验证工具名称、参数和结果，但不执行工具。拥有受保护资源的应用或服务仍负责身份验证和授权。

选项 10：Arcade.dev

最适合

• 在企业中部署可在 SaaS、内部工具、CRM、电子邮件、工单系统或运营工作流中执行操作的 AI 代理的团队。
• 如果恶意指令绕过了检测器，当由此产生的工具调用超出用户权限或代理范围，或违反您现有或自定义的策略时，Arcade 仍会阻止该调用。

概述

Arcade.dev 是企业 AI 代理与其所操作的系统之间的操作运行时。它结合了委托授权、面向代理优化的工具以及工具级和代理级治理。它不会将提示分类为良性或恶意。相反，它会在其调解的每次工具调用执行之前，对该调用强制执行授权和策略。

在提示注入防御体系中，Arcade 是确定性的操作边界层。检测器判断内容是否看起来恶意。Arcade 决定由此产生的操作是否运行。

部署选项包括云、VPC、本地和空气隔离环境。

主要特性

• 现有策略执行：将您现有策略引擎中已定义的规则应用于每次工具调用，因此注入的指令无法推动代理越过您已维护的策略。
• 自定义策略：上下文访问钩子在列出工具时、工具执行前以及工具结果返回给代理之前运行您自己的策略逻辑。每个钩子可以允许、拒绝或修改，因此团队可以隐藏用户不应触及的工具、阻止有风险的参数，并在工具输出进入模型上下文之前对其进行脱敏或过滤。
• 按操作授权：根据用户权限与代理范围的交集评估每次工具调用，因此注入的指令无法让代理做出超出两者允许范围的操作。
• 审批工作流：支持针对敏感或高风险操作的可配置人工确认。
• OAuth 与密钥处理：管理 OAuth 流程，并将敏感凭据完全置于模型上下文之外，因此提示注入无法提取它们。
• 预构建、自定义和远程 MCP 工具：Arcade 可以托管自定义 MCP 服务器，并注册现有的远程 MCP 服务器。无论这些工具是通过 Arcade SDK 执行，还是通过 Arcade 的 MCP Gateway 暴露，它们都会在相同策略下进入同一个受治理的目录。
• 工具级和代理级治理：提供共享注册表、版本控制、执行日志，以及兼容 OpenTelemetry 的审计遥测，可指明每个操作背后的代理、用户和系统。

定价

• 客户可以免费开始使用，之后按平台费加上基于用量的计费方式收费，按每次用户挑战和每次工具调用计量。

主要优势

• 在操作边界增加确定性强制执行，而不是仅依赖概率性文本分类。
• 为会修改记录、发送消息、触发工作流或访问敏感业务系统的代理，结合了委托授权、工具执行和治理。
• 为通过运行时路由的工具调用提供集中式的工具级和代理级治理，以及兼容 OpenTelemetry 的审计日志。

适用性不足之处

• Arcade 不是提示注入扫描器或文本分类器。需要文本筛查的团队应将 Arcade 与检测器或护栏工具搭配使用。
• Arcade 的强制执行适用于由运行时中介的操作，包括 Arcade 托管的工具、自定义 MCP 服务器和已注册的远程 MCP 服务器。绕过 Arcade 的直接 API 路径仍处于该强制执行点之外。

应该选择哪个工具？用例建议

云原生生产筛查

Microsoft Azure Prompt Shields、Amazon Bedrock Guardrails 和 Google Cloud Model Armor 分别在 Azure、AWS 和 Google Cloud 中提供托管式生产筛查。

模型无关的托管或自托管护栏

Check Point AI Guardrails 为跨 SaaS 和自托管基础设施的生产流量提供模型无关的安全层。

自托管提示注入分类

Meta Llama Prompt Guard 2 为提示和检索数据必须保留在受控基础设施内的环境提供自托管提示注入分类。

可编程的应用级护栏

NVIDIA NeMo Guardrails 围绕提示、检索、对话和工具调用提供可编程的应用级控制。它运行在应用层，而不是作为下游操作运行时。

部署前红队测试和 CI 测试

garak、Microsoft PyRIT 和 promptfoo 支持部署前红队测试、CI 回归测试、安全基线和对抗性场景编排。

当你希望将测试发现带入生产策略执行时，Promptfoo 还提供 Enterprise Adaptive Guardrails。

操作边界授权和策略执行

Arcade.dev 在执行前会根据用户权限、代理范围以及你现有的和自定义的策略检查每次工具调用。将其与此列表中的检测器或护栏搭配使用：检测器筛查内容，Arcade 阻止任何未通过这些检查的注入操作，包括检测器漏掉的操作。

如何为企业 AI 代理选择并分层部署提示注入控制

第 1 步：确定控制必须在哪里运行

确定当前需求是部署前测试、生产筛查、网关治理，还是下游操作强制执行。识别关键否决项，例如间接注入覆盖、RAG 扫描、MCP 支持、气隙部署或代理工具访问。

第 2 步：将部署约束与现有技术栈匹配

确认提示词、检索数据和工具负载是否可以离开你的 VPC 或云边界。当你完全投入 Azure、AWS 或 Google Cloud 时，优先选择原生控制。

检查集成是原生的、基于 API 的、基于网关的，还是需要自定义中间件。

第 3 步：用实际代理工作负载进行测试

用真实的提示词、检索文档、工具参数、语言和故障模式运行入围工具。衡量误报、漏报、延迟影响和运营告警量。

第 4 步：当代理可以执行操作时，添加操作边界控制

如果代理可以修改业务系统，不要仅依赖筛查。添加一个层，在模型决定做什么之后治理工具执行。该层应使用用户现有权限和代理的限定权限来授权每个操作，执行你现有的和自定义的策略，并在配置的策略要求时要求审批。

第 5 步：计算提示注入控制的总拥有成本

包括使用费、模型调用、基础设施、自托管、日志记录、实施工作、迁移工作和持续调优。

结论

提示注入检测是生产代理安全的一层，而不是最终执行点。检测器和护栏可以识别或阻止恶意内容，但执行操作的代理还需要一个确定性决策，判断工具调用是否允许执行。

这使得购买决策成为一个分层问题。选择与部署模型和威胁面匹配的检测器、扫描器或护栏，然后验证下游操作如何被授权、执行和审计。

对于可以改变业务系统的代理，Arcade.dev 在操作边界做出该决策，在执行前根据用户权限、代理范围和现有及自定义策略检查每个工具调用。评估从注入输入到尝试操作的完整路径，而不是孤立地评估检测器。

常见问题

企业 AI 代理的最佳提示注入检测工具是什么？

不存在通用的最佳工具。根据你需要控制的位置来选择：部署前测试、生产筛查、网关强制执行或下游操作授权。

扫描器、检测器、护栏、网关和操作运行时之间有什么区别？

扫描器在发布前测试。检测器对实时内容进行分类。护栏应用模型或应用策略。网关治理路由流量。操作运行时授权并执行代理实际可以做的事情。

提示注入检测能防止不安全的代理操作吗？

不能单独做到。检测减少了恶意指令暴露，但执行操作的代理还需要在工具执行层进行授权、限定权限、审批流程和审计控制。

团队何时应使用自托管的提示注入分类器？

当提示词、检索文档或工具负载不能离开受控基础设施，并且团队能够可靠地运行模型时，使用自托管分类器。

像 Arcade.dev 这样的操作运行时工具是提示注入检测器吗？

不。像 Arcade.dev 这样的动作运行时工具不会将文本分类为恶意或良性。它们通过在动作执行时强制执行授权和策略来补充检测器，工具执行和审计在同一运行时中处理。

你需要部署前扫描器和生产检测器两者吗？

通常需要，对于生产级智能体系统而言。像 garak、PyRIT 和 promptfoo 这样的部署前扫描器和红队框架有助于在发布前发现漏洞。生产检测器或护栏会检查实时提示、检索到的上下文和响应。

买家应如何比较基准测试和延迟声明？

只有在基准测试设置完全可比时才比较数字：相同的数据集、攻击类型、语言组合、输入长度、指标和部署环境。已发布的延迟声明可用于初筛，但最终验证应使用正在评估的生产工作负载和延迟预算。

在评估间接提示注入覆盖范围时应该问什么？

询问该工具能否检查你的智能体实际消费的不可信内容：RAG 分块、网页、电子邮件、PDF、工具输出或 MCP 载荷。仅筛查用户提示的检测器可能会遗漏嵌入在检索上下文中的攻击。