用途：面向已获授权的 LLM 应用安全测试，覆盖提示注入、系统提示泄露、不安全工具调用与 RAG 数据边界失效。核心技术前提是：LLM 把指令与数据作为同一扁平 token 流处理，二者之间没有权限边界，因此注入属于上下文边界问题而非提示词质量问题。资料将其列为 OWASP 2025 年 LLM 应用第一风险。
主要能力：整理 40 余种已测试技术，按直接覆盖、编码混淆、角色扮演劫持、分隔符走私、结构化字段间接注入、RAG 管道注入、布尔提取、位置提取、纠正与幻觉、上下文长度分析分组；同时给出生产系统防御模式与真实案例（如 2025 年 GeminiJack、EchoLeak、Reprompt、SharePoint RAG 投毒、Trail of Bits 智能体 RCE 等）。直接覆盖、编码混淆、角色扮演、分隔符走私与结构化字段注入多被拦截；RAG 间接注入、布尔提取、位置提取、纠正/幻觉与上下文长度分析成功率相对更高。
使用方式：需 python3 与 requests，目标是接受 JSON 载荷、含 message 及可选 conversationHistory、entity、language 等字段的端点。因速率限制容忍度低，请求间隔建议 2-5 秒。布尔提取通过仅答 YES/NO 的问题逐项映射提示词内容；位置提取仅首个位置常有效；上下文长度分析通过发送 1 至 2 字符消息对比 context_length 估算系统提示规模，并测量结构化字段 token 成本与截断行为。
适用场景：目标暴露聊天机器人、copilot 或 AI 端点；响应含 context_length、response_length 或 token 计数；常规越狱提示被拦截；使用 RAG、智能体工具或多模态输入；需在无后端源码时测绘系统提示内容。
限制：仅限授权测试，需低速请求；多数直接与编码类技术在加固模型上会失败；约 10 次布尔问题后模型会自适应并一律回答 YES，需跨会话分散；位置提取格式每种通常只成功一次；模型族等部分信息无法通过该方式确定。