OpenClaw 应对间接提示词注入的防御实战
间接提示词注入（Indirect Prompt Injection）最阴险的地方在于，攻击者不需要直接跟 AI 对话，只要在 AI 能够读取的网页、文档或邮件里埋一段“指令”，就能在后台操纵 LLM。OpenClaw 尝试通过 DualView 机制来解决这个问题，其核心逻辑是将“用户指令”和“外部检索内容”在处理维度上进行隔离。
对于研究 AI Agent 工作流的人来说，这种隔离机制其实给了一个启发：不要过度信任 RAG 检索回来的任何内容。在构建复杂 agent 时，必须在架构层面对数据流进行权限划分，而不是寄希望于模型能通过“自觉”来抵御注入。
下一篇
美国商务部 AI 安全部门负责人离职：安全标准谁说了算？ →
简单来说，它不再把所有输入混在一起喂给模型，而是通过一种双视图机制，让模型在处理外部数据时处于一种“受限模式”，防止外部数据中的指令被误认为是最高优先级的系统指令。
从技术实现上看，这种防御思路比单纯在 System Prompt 里写“请忽略外部指令”要硬核得多，因为后者在面对复杂的角色扮演或伪装指令时极易失效。
这种架构的潜在挑战在于：
- 上下文感知能力： 过强的隔离可能会导致模型无法正确理解外部数据的语义，影响回答的准确度。
- 推理开销： 双视图处理必然会增加 Token 的计算量或增加推理步骤。
对于研究 AI Agent 工作流的人来说，这种隔离机制其实给了一个启发：不要过度信任 RAG 检索回来的任何内容。在构建复杂 agent 时，必须在架构层面对数据流进行权限划分，而不是寄希望于模型能通过“自觉”来抵御注入。
具体的分析过程可以参考这个页面：
https://compsec.snu.ac.kr/blog/dualview