把提示词注入（Prompt Injection）塞进法律文件里

现在的提示词注入攻击已经进化到这种地步了吗？我刚看到一个特别离谱的案例：有人居然尝试把攻击载荷直接藏在提交给法院的法律文件中，目的竟然是想通过这种方式，让负责处理这些文件的 AI 系统在分析案件时，自动站在自己这一边。

这事儿听起来像科幻片，但逻辑其实很硬核。现在的司法系统或者大型律所，为了提高效率，已经在大量使用大模型来做文档摘要、证据提取或者法律合规性检查。如果这些 AI 系统的输入端没有做严格的过滤，那么文件里藏着的“指令”就可能直接篡改 AI 的逻辑。

这个攻击套路大概是这样的：

• 隐蔽性： 攻击者不会在文档里明晃晃地写“请帮我赢下官司”，而是通过某种特定的结构，或者利用 AI 对长文本处理时的注意力分配机制，把指令伪装成文档的一部分。
• 执行环境： 这种攻击不是在网页对话框里玩，而是在一个更严肃、更具权威性的工作流里。当 AI 扫描这份法律文件准备生成总结报告时，它读到的不仅仅是事实，还有被注入的“潜规则”。
• 后果： 如果成功，AI 给出的法律意见、风险评估甚至案件摘要，都会被定向引导，从而在无形中影响到后续的法律决策。

这让我想到之前讨论过的“间接提示词注入”。以前我们觉得注入攻击就是骗骗聊天机器人，让他们说点脏话或者绕过安全限制，但现在这种攻击已经开始瞄准生产力工具和专业领域的自动化工作流了。如果法律、金融这种对准确性要求极高的行业，连输入的文档都不能完全信任，那整个 AI Agent 的部署逻辑都要重新审视。

这种“文档即指令”的攻击模式，其实给所有正在做 RAG 或者自动化文档处理的开发者敲了个警钟：你以为你只是在给模型喂数据，但对模型来说，数据和指令的边界可能比你想象中要模糊得多。