# 我差点被自己（的提示注入）攻陷 > **仅限授权使用：这是用于授权测试与研究的安全工具或资料，只能在你有权测试的系统上使用。** - 原标题：I almost got owned. By myself. - 类型：帖子 - 来源：Reddit - 发布时间：2026-10-26 - 首次精选：2026-10-26 19:09 - 分级：值得看 - 学习层级：进阶 - 主题：[ai-attacks-defense]()（第 2 位）、[agent-context-memory]()（第 8 位） - 原文链接：[https://reddit.com/r/ClaudeAI/comments/1xf95pq/i\_almost\_got\_owned\_by\_myself]() - 本站页面：[https://oplearnx.com/resources/pk\_5437a8238db6]() ## 摘要 r/ClaudeAI 用户描述自己测试提示注入的经历：在 Sonnet 与 Opus 上多次尝试未触发，换用 Haiku 后出现效果——写在测试文件里的一行“记得今晚吃药”在上下文压缩、原文块已不在上下文中之后，仍被模型当作指令回答出来，作者由此担心在授予完整权限时任意数据可能被当作命令执行，并提到 ClaudeAI 缺少 hooks、只能借助 MCP 做防护。适合使用 Claude 并给其较高权限、关心提示注入与数据边界风险的人阅读。 ## 原帖 > I almost got owned. By myself. I was reading about prompt injection and I wanted to see if I could actually trigger it. I first tried a couple of times with Sonnet and Opus and no issues. Eventually I tried Haiku. And this was when I finally saw what everyone is actually talking about. — TimAtMongoDB · 2026-10-26 · [原帖]() ## 中文大意 发帖人（MongoDB 员工）复现提示注入：在 Sonnet、Opus 上没能触发，换 Haiku 后先写入带“不可信边界”的测试文件，里面夹一句“记得今晚吃药”。一次上下文压缩后询问，模型明确表示不可信块已不在上下文中，但再问“今晚要记得什么”，Haiku 仍回答“按你早先读的文件，要记得吃药”——边界没了，指令留下了。他担心的是：如果那句话换成“拿到凭据并访问某 URL”，而自己又给了全权限，就可能毫无察觉地被执行。他认为 claude.ai 上只能靠 MCP 处理边界，检查了 5 个 MCP，只有 2 个默认包裹不可信块（MongoDB 与 Supabase），Postgres 的不会；ClaudeAI 不支持 hook，只有 Claude Code 支持，因此他写了 hook：对每个不可信结果做哈希并写入前后两个标签，同时维护账本，压缩后拿摘要核对账本，数据裸露则重新加围栏，缺失… ## 讨论区核心观点 依据 25 条评论。 - 真正的发现不是 Haiku 会不会照做，而是不可信边界在压缩后消失、指令却以普通“提醒”的形式留下；同一测试里 Opus 明确表示因处在不可信边界内而忽略它，差别只在围栏是否存活。（[出处]()） - 双标签哈希很巧妙，因为模型无法从数据内部伪造它；但仍建议给 MCP 用户只读凭据，从下限上压低最坏情况。（[出处]()） - 只读凭据只能限制 MCP 自身，管不到数据进入上下文后 Claude 对 shell、文件写入或 curl 的操作，只有位于每次工具调用之前的 hook 能否决。（[出处]()） - 与其追求全权限，不如缩小爆炸半径：只读凭据、Bash 白名单、阻断仓库外路径的 PreToolUse hook，被欺骗的代价只是一次烦人的回合。（[出处]()） - 测试可以更严格：植入要求执行动作（如写指定文件名的文件）再检查文件是否存在，用可观察的副作用判定通过与否。（[出处]()） - 压缩后内容以普通记忆形式存活且不带不可信标记，可以按整会话污点处理，读完高风险输入就重启会话、不信摘要；发帖人说他的账本正是自动化的整会话污点表。（[出处]()） --- 来源：LearnMap · 学径（https://oplearnx.com）