用途：验证 LLM 应用抵抗直接与间接提示注入、数据外泄和越权工具使用的能力，并对现有方案、结果或证据做风险评审，形成可执行改进项。输入不完整时，先给出带假设和信息缺口的可用初版。
主要能力：覆盖直接注入、间接注入、指令层级、数据泄露、工具越权、编码混淆、多轮持久化、检测与恢复；区分已确认事实、合理假设与待确认问题；按风险和证据强度排序，输出可执行、可评审、可验证的结果。
使用方式：先阅读并遵循 prompts/prompt-injection-testing.md 的输入、执行规则、最低覆盖清单和输出顺序；补充影响判断的范围、环境、版本、限制、证据和成功标准；先做输入审计，再产出结果。默认输出 Markdown，用户要求表格、CSV、JSON 或工单格式时保留同样的风险、证据、优先级和边界字段；若输出进入自动化流程，先确认字段 schema、枚举值和必填项。评测或回归时读取 evals/eval.yaml 与匹配的 evals/cases/ 用例；仅在目录实际存在且任务需要时读取 references/、examples/、scripts/ 或 output-formats.md。
适用场景：LLM 应用上线前的安全测试、工具调用边界评审、回归验证与风险整改跟踪。
限制：仅在授权环境使用安全占位数据，不提供可用于真实攻击的敏感目标；不执行未经授权的生产写操作或破坏性动作；不编造输入中不存在的系统行为、字段、数据、指标或根因；关键结论必须关联证据，证据不足时标记为假设并给出验证方法；优先级需说明业务影响、发生可能性或可探测性依据。