提示词注入检测

基于正则表达式的提示词注入护栏模式

OpenRouter 基于正则表达式的提示词注入检测会通过模式匹配扫描传入请求中的常见注入手法。该功能免费，并且由于模式在请求转发到模型服务提供商之前于本地求值，给请求增加的延迟极小。

工作原理

当护栏启用基于正则的检测时，每条传入消息都会对照一组源自 OWASP LLM 提示词注入防护速查表 及其他资料的模式进行扫描。若发现匹配，则执行已配置的操作：

• 标记（Flag） — 请求原样通过；检测结果会记录到可观测性（指标 + 分析事件），但不执行任何强制措施。适合在切换到 redact 或 blocked 之前，先用你自己的流量衡量真阳性率。
• 遮蔽（Redact） — 匹配片段替换为 [PROMPT_INJECTION]，经过清理的请求再转发到模型。
• 阻止（Block） — 整个请求在到达模型之前以 403 被拒绝。

检测模式

以下正则模式会检查所有用户提供的消息内容。除非另有说明，模式不区分大小写。

规避检测

除上述正则模式外，检测系统还包含用于捕获常见规避策略的技术。

词中字母乱序检测（Typoglycemia）

攻击者可能打乱关键词的中间字母，同时保留首尾字母不变（例如用 “ignroe” 代替 “ignore”）。系统会检查这些目标词的 typoglycemia 变体：

ignore, bypass, override, reveal, delete, system, prompt, instructions

基于编码的规避

系统会解码 Base64 和十六进制编码的内容（包括空格分隔的十六进制对，如 69 67 6e 6f 72 65），然后在解码后的文本中检查注入关键词：

ignore, bypass, override, reveal, system, prompt

这可以捕获把恶意指令藏在编码层后面的尝试。会运行两个编码检测器：base64_encoded_injection, hex_encoded_injection。

字符间隔规避

带有字符间隔的文本（例如 i g n o r e p r e v i o u s）会通过折叠空格进行规范化，然后重新对照所有模式扫描。这可以防止简单的空格规避。

报告误报

如果检测错误地标记了合法内容，你可以在日志（Logs）页面将其标为误报。带有护栏事件的生成记录行上会显示盾牌图标；悬停即可打开护栏弹出框。

当只检测到一条模式时，直接在弹出框中点击 标为误报（Mark as false positive）：

当检测到多条模式时，弹出框会改为链接到生成详情视图，你可以在其中选择要报告的具体模式：

在详情视图中，于 标为误报 下勾选被错误标记的模式，然后点击 提交（Submit）：

该事件会被可视化标记，你的反馈会记录下来，用于改进后续检测。

限制

• 基于正则的检测并不穷尽。 复杂或新颖的注入手法可能无法被捕获。
• 标记模式不会强制执行。 被标记的请求会按提交原样转发到模型——检测仅记录到仪表板和分析。使用 flag 衡量真实流量上的匹配率；在确认误报率可接受后再切换到 redact 或 block。
• 可能出现误报。 部分合法提示词可能包含匹配这些模式的短语（例如关于安全测试的提示词）。在广泛强制执行之前，请用有代表性的流量测试护栏配置——最好先用 flag 模式。你可以在日志页面报告误报，或通过允许列表豁免已知安全的特定短语。

延伸阅读

• 允许列表 — 将已知安全的特定短语从检测中豁免
• OWASP LLM 提示词注入防护速查表
• 护栏文档
• 护栏 API 参考