结论先说：三家都能检测越狱与提示词注入，差别在接入位置：Azure Prompt Shields 区分“用户提示攻击”和“文档攻击”，在 Foundry 中可直接拦截；AWS Bedrock Guardrails 把 Prompt Attack 作为内容过滤类别，Standard 层级还能识别提示词泄露；Google Model Armor 同时扫描提示与回复，可仅检测或检测并拦截。模型已在哪朵云上，通常就优先用哪家；多云或自建模型再考虑开源方案。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、功能对比表（可引用） 维度Azure Prompt ShieldsAWS Bedrock GuardrailsGoogle Model Armor越狱/直接注入用户提示攻击检测Prompt Attack：Jailbreak、Prompt Injection提示词注入与越狱检测间接注入（文档/网页）文档攻击检测；Agent 工具返回扫描为 Preview官方说明需用标签标记用户输入；不评估工具结果（据官方页面摘要，请以文档为准）可筛查提示与回复；支持 MCP 工具流量（据官方概览）提示词泄露—（需其他控制）Prompt Leakage（仅 Standard 层级）通过敏感数据过滤间接覆盖处理方式Foundry 中可拦截；API 只返回结果由你决定按过滤强度拦截/掩码仅检测或检测并拦截语言提示主要以英文训练评估，非英文需自测请查官方语言支持列表请查官方语言支持列表其他护栏内容安全分类、Groundedness 等拒绝话题、词过滤、PII、上下文 grounding、自动推理检查负责任 AI 过滤、敏感数据保护、恶意 URL 来源：Microsoft Learn Prompt Shields、AWS Bedrock 检测提示攻击、AWS 创建护栏、Google Model Armor 概览。标注“请查”的格子本文未逐项核实。价格与区域可用性变化快，请以各家官网为准。 二、三家分别怎么接 2.1 Azure Prompt Shields调用 Content Safety 的 Prompt Shields 接口，分别传入 user prompt 与 documents。官方强调它只判断“是否在操纵模型”，不判断内容是否有害、是否符合事实，需与其他护栏组合。 2.2 AWS Bedrock Guardrails创建 Guardrail，在内容过滤中开启 Prompt Attack 并设置强度；可用 ApplyGuardrail 对非 Bedrock 模型的文本单独评估（以官方文档为准）。 2.3 Google Model Armor创建模板，启用提示词注入与越狱检测，调用 sanitize 接口检查提示与回复；官方说明需使用区域端点，且少于 3 个词的输入会返回 NO_MATCH_FOUND。见 Sanitize prompts and...
结论先说：NeMo Guardrails 是 NVIDIA 开源的护栏编排框架，把检查分成输入、检索、对话、执行、输出五类“rails”。防越狱最常用的组合是 self check input（让 LLM 自检）＋ jailbreak detection heuristics（困惑度启发式，低延迟）＋输出自检；生产环境应把启发式检测部署成独立服务，并用内容安全模型补强。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、五类 Rails 对照表（可引用） 类别触发时机防护用途Input rails收到用户输入时越狱/注入检测、敏感信息脱敏Retrieval railsRAG 检索完成后过滤被投毒的检索片段Dialog rails计算出规范形式后限定对话话题与流程Execution rails动作执行前后控制自定义工具调用Output railsLLM 生成输出时审核、改写或拦截回复 来源：NeMo Guardrails 官方 Guardrails Configuration。 二、最小配置步骤 2.1 安装按 GitHub NVIDIA/NeMo-Guardrails 说明 pip install nemoguardrails，新建 config 目录，包含 config.yml 与 prompts.yml。 2.2 开启输入自检在 config.yml 的 rails.input.flows 中加入 self check input，并在 prompts.yml 定义 self_check_input 任务（判定提示由你按业务政策编写）。官方说明：自检提示回答 yes 表示拦截、no 表示放行；未定义该 prompt 会在加载时报错。详见 LLM Self-Check 文档。 rails: input: flows: - self check input - jailbreak detection heuristics output: flows: - self check output config: jailbreak_detection: server_endpoint: "http://your-heuristics-service:1337/heuristics" length_per_perplexity_threshold: 89.79 prefix_suffix_perplexity_threshold: 1845.65...
结论先说：Llama Guard 4 是 Meta 开源的 12B 多模态安全分类器，用来判断“用户输入”和“模型输出”是否落入 S1–S14 危害类别；Llama Prompt Guard 2（86M / 22M）是更轻量的二分类器，专门识别提示词注入与越狱意图。出海企业最常见的做法是：Prompt Guard 2 放在最前面挡注入 → 主模型 → Llama Guard 4 审输出，再加日志与人工复核。两者都只是概率模型，不能替代权限隔离。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、Llama Guard 与 Prompt Guard 分别是什么 1.1 Llama Guard 4：内容安全分类器 根据 Llama Guard 4 官方模型卡，它是从 Llama 4 Scout 剪枝而来的 12B 稠密模型，原生支持文本+多张图片，可对 LLM 输入（prompt classification）和输出（response classification）分别分类，输出 safe/unsafe 以及违反的类别编号。类别基于 MLCommons 危害分类法，另加“代码解释器滥用”。 1.2 Prompt Guard 2：注入/越狱检测小模型 Prompt Guard 2 模型卡 显示有 86M 与 22M 两个版本，输出 benign / malicious；86M 多语言效果更好，22M 更快更便宜；上下文窗口 512 token，长文本需分段扫描。 二、S1–S14 危害类别对照表（可引用） 编号类别（官方英文）出海业务常见触发场景S1Violent Crimes客服被诱导输出暴力内容S2Non-Violent Crimes诈骗、洗钱、黑客类请求S3Sex-Related Crimes—S4Child Sexual Exploitation必须零容忍拦截S5Defamation生成竞品虚假负面S6Specialized Advice金融/医疗/法律建议（金融、保健品客户重点）S7Privacy泄露用户订单、地址S8Intellectual Property仿冒品牌文案S9Indiscriminate Weapons—S10Hate多语言评论区S11Suicide & Self-Harm心理健康类应用S12Sexual Content社交/陪聊类应用S13Elections政治广告相关S14Code Interpreter...