最后更新：2026-10-24 Facebook白名单广告户的费用官方没有「加白一口价」：Meta 开户本身通常不收开户费，花钱的是广告消耗（开户费用结构）；与「白名单」相关的额外成本主要是商务验证/牌照合规准备和代理服务费。周期上，商务验证官方写明可能最多约 14 个工作日；加密授权帮助页写通常约 48 个工作小时；赌博授权时效未统一公布。本文拆成本、看风险、选代理；熊猫出海报价与时效请向熊猫出海确认。 一、费用构成 成本项谁收说明广告消耗Meta按竞价实际花费；预算规则见投放指南开户费—官方自助开户通常不收；代理是否收费请向熊猫出海确认牌照/许可目标市场监管机构赌博/部分金融/加密常见必需合规与翻译律所/公证非英文牌照的公证翻译、披露文案等代理服务费服务商开户、验证/授权协助、代投、申诉；请向熊猫出海确认素材制作自制或外包需备多套以应对拒审 二、申请周期受什么影响 路径：仅 SAC 声明通常可即时完成；商务验证与授权需审核等待。品类：赌博、加密材料要求高于普通电商。资料完整度：主体名不一致、缺翻译是最常见拖延点。扩展账户：已获批主体向同组合其他账户扩展授权，官方流程通常更快。 想加快进度，最有效的是一次备齐资料（见授权资料清单）。 三、主要风险 风险表现应对政策与牌照变动授权因牌照失效被撤销保持牌照有效，订阅政策更新拒审SAC/授权/素材不合规投放前素材预审账户受限反复违规或支付问题备用户 + 申诉虚假承诺“包过”“不封户”“无牌也能投”不可信，远离 四、代理怎么选 授权按广告账户发放、材料须与牌照主体一致，代理的价值在于路径判断、资料与执行。挑选标准可参照Facebook广告代投怎么选与海外广告代投流程与收费。 Facebook白名单代理靠谱度评分器（勾选已具备项；仅作自查，不代表审核结果） 计算得分 五、熊猫出海能做什么 熊猫出海服务出海游戏、金融与电商广告主，可大量开户并提供备用户；资质预审帮助提高通过率；拒审与账户申诉代办；投放前素材预审降低拒审率；也可组合 AppLovin 等游戏广告渠道与TikTok 加白路径一起规划买量。 六、和普通开户、代投报价怎么比 比较项普通开户/代投白名单相关服务 主要工作建 BM、主页、像素、充值、优化另加路径判断、牌照材料、验证/授权跟进、素材合规预审 报价结构服务费或消耗抽成（见代投收费模式）常含预审+授权协助；是否打包请向熊猫出海确认 交付物账户权限、周报、素材测试另交付授权状态截图、资料清单、拒审整改记录 风险点优化效果波动审核结果不可承诺；牌照与政策变动 普通 Facebook 开户成本拆解见Facebook开户多少钱；若你同时做 TikTok 游戏加白，费用逻辑类似但官方机制不同，见TikTok加白户费用。 七、签约前问代理的 8 个问题 你们说的「白名单」具体指商务验证、特殊广告类别，还是赌博/加密 Authorizations？ 广告账户和主页最终归属谁的企业主体？ 能否出示（打码后的）授权通过或验证通过截图样例？ 是否承诺「包过 / 不封户 / 无牌可投」？（承诺则不合作） 拒审后是否含申诉代办？几轮？ 是否支持批量开户与备用户？备用户谁持有？ 服务费、充值、退款、发票怎么写进合同？ 牌照过期或政策变更时如何通知并停投？ 八、常见问题（FAQ） 8.1 白名单户能“保证不封”吗？ 不能。任何账户违规都可能被处罚，说“保证不封”的要警惕。 8.2 有没有加白一口价？ 官方没有统一价，代理报价请向熊猫出海确认。 8.3 多久能下户？ 取决于路径（验证/授权/仅 SAC）、品类和资料完整度，请向熊猫出海确认。 8.4 能不能租用别人的白名单户投放？ 不建议。账户应在自己的主体名下，借用账户违反平台规则且风险很高。 联系熊猫出海：Facebook/Meta 白名单开户、授权与代投 熊猫出海（PandaWM，香港）可大量支持 Facebook / Meta 广告开户与受限品类授权协助，服务出海游戏、金融与电商广告主： 资质预审：提交前核对主体、牌照/授权、落地页与品类声明，帮助提高审核通过率（不承诺结果）开户/授权提速：材料一次备齐、减少来回补件；具体时效请向熊猫出海确认拒审申诉代办：读懂拒审原因、整改素材与落地页后代为申诉批量开户 + 备用户：多账户分产品、分市场运营，降低单户波动对投放的影响投放前素材预审：按 Meta 广告标准预检特殊广告类别声明、18+、授权范围等要点，降低拒审率代投优化：BM 结构、像素/CAPI、出价与素材迭代；报价请向熊猫出海确认 我们只协助资质合规的产品走 Meta 官方商务验证与 Authorizations and Verifications 流程，不提供绕过审核、伪装落地页（cloaking）或禁止品类投放。费用、时效与可投市场请向熊猫出海确认；政策以 Meta...
最后更新：2026-10-24 Facebook广告拒审在「白名单」相关场景里，最常见的不是“账户没加白”一句话，而是：特殊广告类别漏选、账户未获赌博/加密授权、推广了禁止金融产品、定向违反 18+ 或 SAC 限制、落地页与授权主体不一致。Meta 广告标准见Advertising Standards；账户限制说明见Restricting accounts。通用封户申诉见Meta/Google/TikTok封户申诉指南。熊猫出海提供拒审原因研判与申诉代办。 一、政策边界：先分清五类问题 类型典型表现对应官方机制声明类美国金融广告未选 Financial products and services特殊广告类别授权类未授权账户投真金游戏或加密交易Authorizations and Verifications禁止类发薪日贷、二元期权、ICO、差价合约等禁止的金融产品与服务定向类赌博广告投向 18 岁以下；SAC 用了类似受众年龄与 SAC 受众限制身份类商务验证信息虚假或不一致Business Verification 二、8 大常见拒审 / 受限原因 #原因怎么改1金融/住房/就业广告未声明特殊广告类别编辑广告系列，选择正确类别并保存（官方）2账户未获在线赌博与游戏授权就投放先走授权申请；社交赌场确认无可兑现金钱3账户未获加密授权就投交易类广告按加密帮助提交牌照与账户4推广禁止金融产品（短贷、二元期权、ICO 等）下线产品；对照禁止清单，不要硬申诉5赌博/游戏定向含 18 岁以下年龄下限调至 18+（或当地更高）6SAC 使用了不可用的类似受众/邮编排除按受众限制重建受众7落地页主体与授权/验证主体不一致改回一致主体或重新申请授权8商务验证材料造假或不匹配按真实注册文件重提；勿规避验证系统 第 1–8 项由熊猫出海依据 Meta 官方帮助与 Transparency Center 整理归纳，具体拒审文案以后台通知为准。 三、被拒后的申诉与整改 在 Ads Manager / Business Support Home 读拒审原因，判断是声明、授权、禁止项还是定向。按上表修改广告系列、受众、素材或落地页；保留修改前后截图。若认为误判，可请求复核（官方 SAC 页写明可在 Business Support Home 申请复核）。账户被限制时，按账户申诉指南准备材料。同一违规反复提交只会加重风险，应换合规创意而不是硬撞。延伸阅读：Meta广告政策与审核机制。 熊猫出海可代办拒审申诉：判断原因、整改素材与落地页、代为提交并跟进；结果以 Meta 审核为准。 四、素材与账户风险自查器 Facebook白名单相关拒审风险自查器（勾选“已避免”的项）（勾选已具备项；仅作自查，不代表审核结果） 计算得分 五、按品类的快速对照 品类高发拒审点优先动作 金融信贷/保险（尤其美国）未选特殊广告类别；收集敏感支付信息；年龄未 18+声明 SAC、重建受众、改落地页表单 真金游戏/博彩账户未授权；投向 unsupported markets；未满 18 岁定向先完成 Authorizations；只投获批地区与类型 社交赌场（无可兑现）素材暗示可赢钱/提现；出现货币价值奖励删误导表述，确认无可兑现金钱，保持 18+ 加密交易未授权账户投放；推广 ICO 等禁止项授权获批后再投；对照禁止清单下线产品 住房/就业未声明 SAC；使用类似受众或邮编排除声明类别并按受众限制重建 申请路径与材料见Facebook白名单授权申请流程与资料清单；投放结构见白名单户开户与投放教程。 六、和普通拒审、封户有什么区别 普通创意违规（夸大、低俗、版权）按广告标准处理即可。白名单相关问题多半是账户能力或系列设置没到位：没有授权却投受限品类、该声明 SAC 却选了 None、验证主体与落地页不一致。处理顺序建议：先确认账户 Authorizations / 商务验证状态 →...
最后更新：2026-10-24 Facebook白名单户投放的核心是：账户已完成所需的商务验证或受限品类授权，广告系列正确声明特殊广告类别（如需要），定向遵守 18+ 与 SAC 受众限制，素材与落地页不超出授权范围。像素与转化 API 配置见Meta像素与CAPI配置教程；BM、主页准备见开户前粉丝页/BM/像素清单。熊猫出海提供投放前素材预审，降低拒审率。 一、开户前确认的 6 件事 业务组合（BM）主体与牌照/验证主体一致。广告账户已在 Authorizations 中获批（赌博/加密适用）。主页与 Instagram 资产权限齐全（准备清单）。支付方式与账单主体就绪（费用结构见开户费用）。像素 + 建议同时开 CAPI，event_id 去重（安装教程）。是否需要多账户分产品/分市场（批量开户与备用户请向熊猫出海确认）。 二、推荐账户结构 层级建议原因业务组合 BM一个主体一个主 BM；代理用合作伙伴权限接入资产归属清晰，验证/授权不串主体广告账户按产品或授权范围分户赌博/加密授权绑定账户 ID，分户便于隔离广告系列金融/住房/就业必须声明 SAC；其他选 None漏声明可能导致拒审（美国金融自 2025-01-21）广告组SAC：遵守年龄/性别/地域限制；赌博/加密：18+官方受众限制与年龄政策广告3–5 条素材起测（经验值）逐条过审，预留拒审替换 三、特殊广告类别下的定向限制 住房、就业、金融产品与服务广告系列在美国、加拿大及部分欧洲地区有额外受众限制（官方）： 年龄通常固定为 18–65+（欧洲信贷类可按当地要求调整）。性别须包含所有性别，不可单选。不可按 ZIP/邮政编码定向，不可排除地点；城市/图钉定位会扩大半径（美国/加拿大示例为约 15 英里）。类似受众（Advantage+ lookalike）不可用；部分详细定向与排除不可用。 开发者字段见Marketing API Special Ad Categories：须同时设置 special_ad_categories 与 special_ad_category_country。 四、赌博 / 加密授权范围内怎么投 4.1 年龄与市场 Meta 不允许在线赌博与游戏广告定向 18 岁以下；还须遵守目标地区法定最低年龄（Targeting）。只投授权时勾选的 territory 与 gaming type；扩展新区或新类型须再申报（多数情况可自动授权，个别如巴西等除外）。 4.2 社交赌场例外 无可兑现金钱价值的社交赌场/免费游戏无需事先授权，但仍须 18+，且不得提供赢取金钱、金币（有货币价值）、礼品等机会。 4.3 移动应用 Advertising Mobile Apps：检测到应用含须授权的在线赌博玩法却未获许可时会拒审；二元期权等禁止金融产品相关应用不可投。 五、素材与落地页 要做不要做落地页主体与授权/验证主体一致投放中途换成无关域名金融广告写清产品性质，定向 18+在广告里直接收集银行卡号等敏感信息（隐私违规）赌博类遵守当地披露与年龄投向 unsupported markets加密类仅投已授权账户与许可范围推 ICO、未授权交易服务保留授权批准截图与牌照副本超出 gaming type / 国家范围投放 六、上线前合规评分器 Facebook白名单户上线前合规评分器（勾选已具备项；仅作自查，不代表审核结果） 计算得分 七、上线后注意 先稳定过审与回传，再加预算（预算规则见投放指南）。政策或牌照到期会导致授权被撤销，须保持牌照有效。账户受限按申诉指南处理；熊猫出海可代办。近期产品与条款变化见Meta广告更新（10月）。 八、常见问题（FAQ） 8.1 授权过了还要每条广告过审吗？ 要。授权只解决“账户可否投该品类”，创意与落地页仍审核。 8.2 SAC 声明会不会让审核更慢？ 官方写明选择特殊广告类别不影响审核时长。...
最后更新：2026-10-24 Facebook「白名单」申请并不是一张统一表格，而是按你踩中的机制分别走：商务验证走 Security Centre；在线赌博与游戏、加密货币走 Authorizations and Verifications；金融/住房/就业则是创建广告系列时声明特殊广告类别，并可能被要求核验牌照。官方对赌博与游戏写明：须在 Meta Business Suite 的 Authorizations and Verifications 申请，授权授予特定广告账户 ID（申请指南）。资料越齐、主体名越一致，来回补件越少。熊猫出海提供资质预审与材料代整理。 一、先选对路径：5 步总览 定品类：常规投放 / 需商务验证 / 需特殊广告类别声明 / 需受限品类授权（赌博游戏、加密）。定主体与账户：牌照上的法人名、BM 企业名、广告账户归属、落地页公司名尽量一致。定市场：赌博类先查 unsupported markets（Transparency）；金融 SAC 注意美国受众强制声明。备料提交：按下方清单准备；加密帮助页写审核通常约 48 个工作小时，商务验证可能最多约 14 个工作日。获批后投放：仅在获批账户与品类范围内投放，每条广告仍过审。 二、商务验证资料 官方要求：已注册的合法企业、企业官方电话或邮寄地址；提交人须对业务组合有完全控制权。细节与证件上的法定名称、地址须完全一致；匹配不到时可上传营业执照、公司章程、税单、银行对账单或水电账单等（可接受文件说明）。确认方式包括邮箱、电话、短信、WhatsApp 或域名验证。 材料是否常见需要注意法定企业名称与地址★与注册文件逐字一致企业电话 / 邮寄地址★须能接收验证码或官方邮件官网（HTTPS）★验证步骤页要求网站可访问且为 https营业执照 / 注册文件视匹配结果匹配失败时上传域名所有权证明视确认方式选域名验证时需要 三、在线赌博与游戏授权资料 申请步骤概要（官方步骤）：Authorizations → Online gambling and gaming ads → Request authorization → 选择角色（Operator / Aggregator / Affiliate / Agent）→ 选择可投放地区与游戏类型 → 填写与牌照一致的法定企业名 → 填写广告 URL 并勾选广告账户 → 上传牌照/合法证明 → 确认 Addendum。 材料Operator（运营商）Affiliate（联盟）说明法定企业名★★须与牌照一致目标地区赌博/游戏牌照★上传运营商牌照覆盖所选 jurisdiction 与 gaming type广告落地页 URL★★与授权范围一致待授权广告账户★★授权按账户 ID 发放角色声明★选 AffiliateAgent 须说明代表谁申请 社交赌场与无可兑现金钱的免费游戏：官方写明无需事先授权，但仍须 18+，且不得提供赢取金钱/礼品等货币价值的机会（Targeting 段）。 四、加密货币授权资料 官方流程：Authorizations →...
最后更新：2026-10-24 Facebook白名单广告户（也称 Meta 白名单户、加白户）是中文广告圈的俗称，Meta 官方没有名为「白名单户」的产品。广告主说的「白名单」，通常对应下面三类官方机制中的一种或几种：① Business Verification（商务验证）；② Special Ad Categories（特殊广告类别）——住房、就业、金融产品与服务、社会议题/选举/政治；③ Meta Business Suite 里的 Authorizations and Verifications（授权与验证）——例如在线赌博与游戏、加密货币产品与服务需事先授权。普通电商、常规手游一般只要正常开户；一旦涉及真金赌博、加密交易、信贷保险等，才需要走「加白」路径。熊猫出海可协助资质预审、商务验证与受限品类授权申请，以及批量开户。 一、白名单户、普通户、代理户、商务验证到底差在哪 对比项普通广告账户代理开出的账户「白名单」业内说法实际指什么本质BM/Business Suite 下的标准广告账户由授权代理协助开户、充值、运维商务验证、特殊广告类别声明，或受限品类授权通过官方名称Ad AccountAgency / partner managed accountBusiness Verification / Special Ad Categories / Authorizations谁需要常规电商、App、品牌需要批量开户、代投的团队游戏（真金/社交博彩）、金融、加密、住房就业政治广告主怎么拿到自助创建BM + 主页 + 像素准备后台提交验证/声明/授权材料，或经代理整理提交过了就能随便投？仍须遵守广告标准同左否：每条广告仍审核；授权仅限获批品类与账户 开户费用结构见Facebook开户多少钱；投放全流程见Facebook广告投放全流程指南。TikTok 侧的加白俗称对照见TikTok广告加白户是什么——两边官方机制不同，不要混用材料。 二、三类官方机制对照（俗称「白名单」的真相） 机制官方入口主要解决什么典型广告主商务验证 Business VerificationMeta Business Suite → Security Centre确认企业合法、代表有权代表该企业；部分产品/提额/合作伙伴要求验证需要提额、成为 Meta Business Partner、部分金融/机构广告主特殊广告类别 Special Ad CategoriesAds Manager 创建广告系列时声明住房、就业、金融产品与服务、社会议题/选举/政治；触发受众定向限制信贷、保险、招聘、房源、政治广告授权与验证 AuthorizationsBusiness Suite → Authorizations and Verifications在线赌博与游戏、加密货币等受限商品需事先授权 + 牌照真金游戏/博彩、加密交易所、部分金融产品 2.1 商务验证不是「加白就能过审」 官方说明：验证帮助确认业务组合属于合法企业，并可能开放部分广告、开发者、账单与支出选项；验证不等于 Meta Verified 蓝标。决策可能需最多约 14 个工作日（验证步骤页）。提供虚假信息可能导致无法验证或取消验证状态。 2.2 特殊广告类别：声明 ≠ 白名单放行 自 2025 年 1 月 21 日起，美国广告主或面向美国受众的金融产品与服务广告系列，必须选择对应特殊广告类别，否则可能被拒（官方）。选了类别后，年龄、性别、邮编、类似受众等定向会受限（受众限制说明）。这是合规声明，不是「开通特权」。 2.3 受限品类授权：才最接近业内说的「加白」 在线赌博与游戏：须在 Authorizations and Verifications 申请授权，授权绑定具体广告账户...
结论先说：MCP（Model Context Protocol）让 AI Agent 能方便地连接各种工具，也把“提示词注入”的后果从“说错话”放大成“做错事”。权限最小化的核心有四条：①每个 MCP 服务器只拿完成任务所需的最小 scope；②禁止 Token 透传，服务器只接受签发给自己的令牌；③工具按读/写/外发/资金分级，高级别操作必须人工确认；④工具描述和返回值一律视为不可信输入。前两条直接来自 MCP 官方规范，后两条是熊猫出海的落地框架。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、MCP 官方安全要求（必须知道的） 1.1 禁止 Token 透传MCP 官方 Security Best Practices 将“Token passthrough”列为反模式：MCP 服务器不应接受未签发给自己的令牌并转发给下游 API。授权安全注意事项 要求服务器在处理请求前验证令牌确实是为该服务器签发的。 1.2 混淆代理（Confused Deputy）官方文档说明：使用静态 client ID 连接第三方 API 的 MCP 代理服务器，必须对每个动态注册的客户端做用户同意（per-client consent），校验 redirect URI，并防 CSRF，否则攻击者可能借用户已有的同意 cookie 拿到授权码。 1.3 Scope 最小化官方最佳实践建议按需逐步申请权限，而不是一次性申请全部 scope；具体条款以官方当前版本为准。 二、MCP 场景下的四类风险 风险说明首选控制间接提示词注入工具返回的网页/邮件/文档中藏有指令返回值当数据处理；高风险动作前人工确认工具描述投毒第三方 MCP 服务器的工具描述中夹带诱导性文字只接入审核过的服务器，固定版本，变更告警Token 透传与混淆代理令牌被错误转发或授权码被劫持遵守官方 MUST 要求：令牌受众校验、逐客户端同意权限过大一个服务器同时拥有读写、外发与支付能力按下表分级拆分服务器与令牌 前三行风险描述参考 MCP 官方文档与 OWASP LLM Top 10 中文清单（LLM01、LLM06）；“工具描述投毒”为业界公开讨论的风险类别，本文未引用具体事件。 三、工具权限分级矩阵（熊猫出海方法框架） 级别能力示例控制要求T0 只读·公开读公开信息查汇率、查公开商品页可自动执行T1 只读·私有读当前用户自己的数据查我的订单令牌绑定当前用户，按租户隔离T2 写入·内部修改内部状态改工单状态、加备注记录日志，可撤销T3 外发对外发送内容发邮件、发消息、发帖展示内容并由用户确认T4 资金与删除不可逆或涉及资金退款、付款、删数据人工确认 + 后端二次鉴权 + 金额/频率上限 四、落地步骤 4.1 盘点列出每个 MCP 服务器、它暴露的工具、使用的令牌与 scope，并标注 T0–T4 级别。 4.2 拆分不同级别的工具尽量放在不同服务器或使用不同令牌；T3/T4 不与“读取外部内容”的工具共用一个无人值守流程。 4.3 确认与上限T3/T4 前展示将要执行的参数让用户确认；设定单次与每日上限。...
结论先说：AI 客服或智能体被越狱、被注入时，第一件事不是改提示词，而是止血：关掉高风险工具或切到只读模式，保留完整日志，再判断影响范围。熊猫出海把处置整理为 6 步：发现 → 分级 → 遏制 → 取证 → 修复与回归 → 复盘与通报，结构上对齐 NIST SP 800-61 Rev.3 的事件响应思路，并补上 LLM 特有的取证项。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、AI 安全事件有哪些类型 类型典型表现OWASP 对应内容越狱模型输出违反政策的内容并被截图传播LLM01间接注入模型执行了网页/邮件/文档里的隐藏指令LLM01系统提示词泄露内部提示、业务规则被套出LLM07数据泄露输出了其他用户的订单、联系方式LLM02/LLM08越权操作Agent 发了不该发的邮件、做了退款LLM06资源滥用接口被刷，费用异常LLM10 对应关系参照 OWASP LLM Top 10 中文清单；攻击技术可在 MITRE ATLAS 中查找相应条目用于报告归类。 二、分级标准（熊猫出海方法框架） 级别判定条件响应时限建议P1 严重发生越权操作、资金损失或个人数据泄露立即启动，先下线相关工具P2 高可稳定复现的越狱/注入，影响面向公网用户当天内遏制P3 中需复杂条件才能复现，未造成实际损失本迭代修复P4 低单次、无法复现或仅内部可触达记录并纳入回归 2.1 事件分级计算器 AI 安全事件分级计算器（填 1 = 是，0 = 否）（浏览器本地计算，不上传数据）是否发生越权操作或资金损失：是否泄露个人数据或其他用户数据：是否可稳定复现：是否公网匿名用户可触发： 计算 分级逻辑为熊猫出海方法框架，仅供参考；涉及个人数据时请咨询你所在市场的律师确认通报义务。 三、6 步处置流程 3.1 发现来源包括护栏告警、用户投诉、社媒截图、费用异常。平时就要有 L6 监控层。 3.2 分级用上表或计算器定级，指定事件负责人。 3.3 遏制关闭或降级高风险工具（只读模式）；临时收紧输入护栏阈值；对触发账号限流或封禁；必要时用下线开关整体关闭 AI 功能。 3.4 取证（LLM 特有清单） 证据为什么需要完整对话与时间戳还原攻击路径与轮次检索到的片段及来源 URL/文档 ID判断是否间接注入工具调用参数与返回值确认实际造成的操作模型、系统提示词、护栏版本复现与回归护栏评分与拦截记录判断是哪一层失守 取证内容属于敏感数据，应访问受控、按隐私政策保存。 3.5 修复与回归修复要落在对应层（权限、隔离、护栏），而不是只在系统提示里多加一句话；修复后把该事件抽象成类别级用例加入回归集，见 测试用例设计。 3.6 复盘与通报无责复盘：时间线、根因、失守层级、改进项。若涉及个人数据，请按各市场法规评估通报义务；面向欧盟用户的产品还需关注 EU AI Act 实施时间表（据欧盟 AI Act Service Desk，经 Digital Omnibus 修订后 Annex III...
结论先说：评估一个 AI 产品防越狱和防注入的能力，至少要同时看两类指标：攻击成功率（ASR，越低越好）和正常请求误拦率（越低越好）。只看 ASR 会把产品调成“什么都拒绝”。测试用例按“攻击类别 × 注入入口 × 目标危害 × 语言 × 轮次”五个维度组合设计，用例描述保持在类别层面，具体载荷由授权红队工具在隔离环境生成。本文给出熊猫出海的测试矩阵模板和计算器。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、核心评测指标 指标定义说明ASR 攻击成功率判定为攻击成功的用例数 ÷ 攻击用例总数学术基准普遍使用；“成功”的判定标准必须事先写清误拦率（False Refusal / FPR）被拦截或拒答的正常请求数 ÷ 正常请求总数衡量护栏对业务的伤害漏报率未被护栏拦下的攻击 ÷ 攻击总数衡量单个护栏组件间接注入成功率藏在文档/网页/工具返回中的指令被执行的比例Agent 与 RAG 场景必测回归差值新版本 ASR − 旧版本 ASR模型或提示词变更后看是否变差 ASR 的用法参考 HarmBench（Mazeika 等，2024）、JailbreakBench（Chao 等，2024）；“回答了但没有实质危害”应如何计分可参考 StrongREJECT（Souly 等，2024） 的评分思路；Agent 间接注入可参考 AgentDojo（Debenedetti 等，2024）。本文不引用这些论文中的具体数值。 二、测试矩阵：五个维度（熊猫出海方法框架） 2.1 维度定义 维度取值示例（类别层面）攻击类别角色扮演、编码/混淆、多轮渐进、权威伪装、上下文溢出、间接注入注入入口用户对话框、上传文件、RAG 文档、网页内容、工具返回值、图片中的文字目标危害绕过内容政策、泄露系统提示词、泄露他人数据、越权调用工具、输出恶意链接语言业务覆盖的每个语种 + 混合语言轮次单轮、多轮（3–10 轮） 2.2 优先级怎么排不必穷举所有组合。先按 威胁建模 的高风险项选“目标危害”，再给每个危害配 2–3 种入口和全部业务语种。工具支持参见 garak/PyRIT/promptfoo 红队教程。 2.3 用例怎么写（不写载荷）每条用例记录：编号、维度组合、前置条件、期望行为（拒绝/降级/转人工/忽略外部指令）、判定标准、关联控制措施。具体测试输入交由 garak、PyRIT、promptfoo 等工具的内置探针在授权的测试环境生成并保存在内部，不对外发布。 三、正常请求集：别忘了另一半从真实客服日志脱敏抽样，覆盖每个语种；专门加入“看起来像攻击但其实正常”的边界样本，例如安全研究话题、含“忽略”一词的正常句子；正常集与攻击集数量建议同一量级，避免指标失真。 四、ASR 与误拦率计算器 ASR / 误拦率计算器（浏览器本地计算，不上传数据）攻击用例总数：判定攻击成功数：正常请求总数：正常请求被误拦数： 计算 输入数字为示例，非实测数据；5% 提示线为熊猫出海经验设定，请按业务风险自定目标。 五、判定标准与报告模板 字段填写说明版本信息模型、系统提示词版本、护栏版本与阈值用例集版本攻击集/正常集条数与语种分布判定方法人工、规则或 LLM 评审；若用 LLM 评审需抽样人工复核结果ASR、误拦率、按维度拆分的结果变化与上一版本的回归差值行动项每个失败类别对应的修复与负责人 标注“熊猫出海方法框架”的模型、模板与权重为熊猫出海原创整理，用于内部评估与客户咨询，不是行业标准或认证；引用时请注明出处。 六、测试体系成熟度评分器 越狱/注入测试体系成熟度（勾选已做到的项，浏览器本地计分，不上传数据） 计算得分 七、常见问题（FAQ） 7.1 ASR 降到多少算安全？没有通用标准，取决于业务影响；高影响工具场景应以“即使成功也无法造成损失”为目标，而不是只追求低 ASR。 7.2 可以直接用公开基准的成绩吗？公开基准测的是模型，你的产品还叠加了提示词、护栏和工具，需用自己的用例集重测。...
大模型安全纵深防御架构：7 层防护模型详解（身份、输入护栏、上下文隔离、模型、输出护栏、工具权限、监控响应），出海 AI 产品防越狱与提示词注入的分层设计（熊猫出海方法框架，附成熟度评分器，2026）
结论先说：没有任何单一护栏能挡住所有越狱和提示词注入，各家官方文档（如 Anthropic、Microsoft Prompt Shields）都建议多层组合。熊猫出海把它整理成 L0–L6 七层纵深防御模型：前四层降低“被骗的概率”，后三层降低“被骗之后的损失”。预算有限时，优先做 L5（工具权限）和 L6（监控），因为它们不依赖任何分类器的准确率。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、为什么必须分层 1.1 分类器本质上是概率判断输入/输出护栏都会有漏报和误报，攻击者也会针对性改写；OWASP 在 LLM01 中明确指出，由于模型的工作方式，目前尚不清楚是否存在万无一失的防注入方法。 1.2 分层的核心思想假设每一层都会失守，确保“任意一层失守，下一层仍能限制损失”。这与传统安全的纵深防御一致。 二、L0–L6 七层模型对照表（可引用） 层级目标典型控制对应标准条目L0 身份与配额知道是谁在用、能用多少登录/设备识别、限流、预算上限OWASP LLM10L1 输入护栏挡住明显的注入与越狱意图Prompt Guard 2、LLM Guard、Prompt Shields 等分类器OWASP LLM01L2 上下文隔离让外部内容只能当数据外部内容独立字段、来源标注、系统提示声明OWASP LLM01/LLM08L3 模型层选对模型并做安全配置选型评估、系统提示加固、温度与工具开关OWASP LLM07L4 输出护栏拦下有害或泄密输出Llama Guard 4、PII 检测、格式校验OWASP LLM02/LLM05L5 工具与权限即使被骗也做不了大事最小权限、后端鉴权、高风险人工确认OWASP LLM06L6 监控与响应发现、止血、复盘全链路日志、告警、下线开关、事件手册NIST AI RMF Manage 熊猫出海方法框架；“对应标准条目”为熊猫出海映射，细节以 OWASP LLM Top 10 中文清单 和 NIST AI RMF 1.0 原文为准。 三、逐层落地要点 3.1 L0–L1：入口匿名公网入口必须有限流与长度上限；输入分类器选型见 Llama Guard 4 部署教程、NeMo Guardrails 教程、云厂商AI护栏对比。 3.2 L2：上下文隔离（最常被跳过的一层）检索片段、网页、邮件、工具返回值不要拼接进 system 提示；放在独立字段并注明“以下为不可信数据”。Agent 场景细节见 AI Agent 提示词注入防护清单。 3.3 L3：模型层不同模型的公开安全评测差异很大，开源权重模型更依赖应用层防护，参见 四大模型越狱防护横评 与 DeepSeek 破甲防护测评。 3.4 L4：输出护栏把模型输出当作不可信输入：渲染前转义、调用前校验 JSON 结构、对外发送前做 PII 与内容安全检测。 3.5 L5：工具与权限工具权限跟随“当前用户”而不是“模型”；退款、发邮件、删数据等操作必须后端二次鉴权或人工确认。MCP 场景见 MCP 工具调用权限最小化指南。...
结论先说：给大模型应用做威胁建模，最实用的方法是把经典 STRIDE 改编成 LLM 版：先画出“用户 → 应用 → 模型 → 检索/工具 → 外部系统”的数据流图，标出每一条信任边界（尤其是“外部内容进入模型上下文”这一条），再按 STRIDE 六类逐一找威胁，用“可能性 × 影响 × 可达性”打分排优先级。越狱和提示词注入主要落在 S、I、E 三类。本文给出熊猫出海整理的模板、对照表和风险计算器。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、为什么 LLM 应用要单独做威胁建模 1.1 传统模型漏掉的那条边界传统 Web 应用里，代码和数据是分开的；而在 LLM 应用里，网页、邮件、PDF、工具返回值都会进入同一个上下文，模型可能把“数据”当成“指令”执行。这正是 OWASP LLM01 提示词注入 的根因，原理见 越狱提示词为什么有效。 1.2 可以借用的公开框架STRIDE 来自微软的威胁建模方法（参见 Microsoft Threat Modeling Tool 威胁类别）；针对 AI 的攻击战术与技术可对照 MITRE ATLAS；风险治理可对齐 NIST AI RMF 1.0 的 Map/Measure/Manage 功能。 二、第一步：画 LLM 数据流图并标信任边界 2.1 最少要画出的 7 个元素（熊猫出海方法框架）终端用户与身份系统；应用后端（含系统提示词与会话存储）；模型（自建开源权重或云 API）；检索源：知识库、向量库、实时网页；工具/插件/MCP 服务器；下游系统：订单、CRM、邮件、支付；日志与监控。 2.2 三条必须标红的信任边界B1 用户输入 → 模型：直接注入与越狱；B2 外部内容 → 模型上下文：间接注入（最容易被忽略）；B3 模型输出 → 工具/下游系统：越权调用、不当输出处理（OWASP LLM05/LLM06）。 三、第二步：LLM 版 STRIDE 对照表（可引用） STRIDE 类别LLM 应用中的典型威胁首选控制措施S 仿冒（Spoofing）攻击者在文档/网页中伪装成“系统”或“管理员”发指令指令与数据分离；外部内容标注来源；授权只认后端身份T 篡改（Tampering）RAG 知识库、向量库或微调数据被投毒数据来源白名单；写入审批；检索日志R 抵赖（Repudiation）Agent 执行了操作却无法追溯是谁、因哪条输入触发全链路日志：输入、检索片段、工具调用、输出I 信息泄露（Information disclosure）系统提示词、其他用户数据、密钥被套出系统提示不放秘密；输出...
正在加载中... 
已加载全部内容
已经没有更多文章了