结论先说：没有任何单一护栏能挡住所有越狱和提示词注入，各家官方文档（如 Anthropic、Microsoft Prompt Shields）都建议多层组合。熊猫出海把它整理成 L0–L6 七层纵深防御模型：前四层降低“被骗的概率”，后三层降低“被骗之后的损失”。预算有限时，优先做 L5（工具权限）和 L6（监控），因为它们不依赖任何分类器的准确率。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、为什么必须分层 1.1 分类器本质上是概率判断输入/输出护栏都会有漏报和误报，攻击者也会针对性改写；OWASP 在 LLM01 中明确指出，由于模型的工作方式，目前尚不清楚是否存在万无一失的防注入方法。 1.2 分层的核心思想假设每一层都会失守，确保“任意一层失守，下一层仍能限制损失”。这与传统安全的纵深防御一致。 二、L0–L6 七层模型对照表（可引用） 层级目标典型控制对应标准条目L0 身份与配额知道是谁在用、能用多少登录/设备识别、限流、预算上限OWASP LLM10L1 输入护栏挡住明显的注入与越狱意图Prompt Guard 2、LLM Guard、Prompt Shields 等分类器OWASP LLM01L2 上下文隔离让外部内容只能当数据外部内容独立字段、来源标注、系统提示声明OWASP LLM01/LLM08L3 模型层选对模型并做安全配置选型评估、系统提示加固、温度与工具开关OWASP LLM07L4 输出护栏拦下有害或泄密输出Llama Guard 4、PII 检测、格式校验OWASP LLM02/LLM05L5 工具与权限即使被骗也做不了大事最小权限、后端鉴权、高风险人工确认OWASP LLM06L6 监控与响应发现、止血、复盘全链路日志、告警、下线开关、事件手册NIST AI RMF Manage 熊猫出海方法框架；“对应标准条目”为熊猫出海映射，细节以 OWASP LLM Top 10 中文清单 和 NIST AI RMF 1.0 原文为准。 三、逐层落地要点 3.1 L0–L1：入口匿名公网入口必须有限流与长度上限；输入分类器选型见 Llama Guard 4 部署教程、NeMo Guardrails 教程、云厂商AI护栏对比。 3.2 L2：上下文隔离（最常被跳过的一层）检索片段、网页、邮件、工具返回值不要拼接进 system 提示；放在独立字段并注明“以下为不可信数据”。Agent 场景细节见 AI Agent 提示词注入防护清单。 3.3 L3：模型层不同模型的公开安全评测差异很大，开源权重模型更依赖应用层防护，参见 四大模型越狱防护横评 与 DeepSeek 破甲防护测评。 3.4 L4：输出护栏把模型输出当作不可信输入：渲染前转义、调用前校验 JSON 结构、对外发送前做 PII 与内容安全检测。 3.5 L5：工具与权限工具权限跟随“当前用户”而不是“模型”；退款、发邮件、删数据等操作必须后端二次鉴权或人工确认。MCP 场景见 MCP 工具调用权限最小化指南。...