StruQ: Defending Against Prompt Injection with Structured Queries (USENIX Security 2025)论文重点提示词注入攻击被OWASP列为LLM应用的头号安全威胁其根源在于LLM输入中将指令控制流与数据混为一体。StruQ借鉴了SQL预处理语句的设计思想通过安全前端Secure Front-End结构化指令微调Structured Instruction Tuning两大利器让LLM学会只听从指令部分的指示、无视数据部分中藏匿的任何恶意指令。实验表明该方法在几乎不损失模型实用性的前提下将TAP攻击的成功率从97%降至9%Alpaca。核心研究内容问题定义提示词注入攻击的核心矛盾在于LLM的输入是一个单一的文本字符串指令开发者意图和数据用户输入/外部内容被不加区分地拼接在一起。攻击者可以在数据部分注入类似忽略之前的指令转而执行……“的恶意文本由于LLM被训练成扫描整个输入并执行其中的任何指令”这种攻击往往能够成功。更具体地说威胁模型假设攻击者可以任意修改查询的数据部分但不能修改提示本身。攻击者知道提示和应用的格式。只要LLM的响应遵循了数据中隐藏的指令即视为攻击成功。创新方法StruQ的核心创新在于将控制与数据分离这一经典安全原则引入LLM领域并解决了如何让现成的LLM支持这种分离这一工程难题。整个方案由两大组件构成1安全前端Secure Front-End安全前端负责将输入组织成特殊格式使用系统保留的特殊标记special tokens如[MARK]等作为分隔符将提示和数据显式分离。关键设计是过滤机制前端会从数据部分过滤掉所有分隔符确保只有系统能够创建这种结构化的输入格式攻击者无法伪造。这类似于Web开发中防止XSS攻击时对用户输入进行转义的做法。2结构化指令微调Structured Instruction Tuning有了安全前端还不够——LLM本身必须学会遵循这种格式。作者的做法是在标准指令微调数据集中额外加入大量数据部分包含干扰指令的训练样本通过监督微调让模型学会只响应被安全前端标记为指令的那部分内容完全忽略数据部分出现的任何指令。论文特别强调StruQ的三个核心设计要素特殊保留标记作为分隔符、带过滤机制的前端、以及专门的结构化指令微调。关于SecAlign的简要说明论文还提出了SecAlign安全偏好优化作为StruQ的补充或替代方案。SecAlign通过偏好优化而非监督微调来训练模型进一步将攻击成功率从StruQ的45%降至8%。但StruQ是本文的主角SecAlign更多是作为延伸工作提及。研究成果论文在多个LLMLlama-7B、Mistral-7B、Llama3-8B等上进行了全面评估涵盖了十余种无优化攻击和多种基于优化的强攻击。主要数据亮点攻击类型无防御StruQ防御TAP攻击Alpaca97%9%TAP攻击Mistral100%36%十余种无优化攻击高成功率接近0%对于基于GCG等强优化攻击SecAlign进一步将成功率降至15%以下相比此前最优方案降低了4倍以上。值得注意的是后续研究2026年提出了一种基于注意力的攻击方法能够以最高70%的成功率攻破StruQ和SecAlign——这说明该领域仍在快速演进StruQ虽大幅提升了防御水平但并非终极解决方案。在实用性方面StruQ对模型效用的影响微乎其微——在AlpacaEval上的性能损失仅约一个标准误差。实际落地应用的可能性应用价值非常高。原因如下通用性强StruQ训练出的单一LLM可以用于任意下游任务无需为每个任务单独训练模型。成本可控该方法基于现有LLM进行微调无需从头训练训练成本远低于从头构建。无需额外人工标注训练数据可以自动生成。防护全面能防御从简单注入到复杂的TAP攻击在内的多种攻击类型。技术细节结构化查询的格式设计一个结构化查询包含两个独立组件提示Prompt来自应用开发者的可信指令数据Data来自用户或外部源的不可信内容安全前端按照硬编码模板将查询编码为特殊格式模板基于Alpaca等标准格式。关键之处在于前端会从数据中过滤掉所有用于分隔的特殊标记确保攻击者无法通过注入这些标记来伪造指令区域。训练数据构造结构化指令微调的核心是训练数据的构造方式正常样本标准的指令-响应对其中只有提示部分包含指令对抗样本在数据部分随机注入各种干扰指令如忽略之前的指令……然后训练模型仍然只响应提示中的指令通过这种方式模型学会了只听从标记为指令的内容无视数据中的所有指令。攻击类型的覆盖论文系统性地评估了以下几类攻击Naive Attack简单注入额外指令Ignore Attack注入忽略之前的指令……及其变体Escape Character Attacks使用\b、\r、\n、\t等特殊字符试图覆盖或分隔文本Completion Attacks先附加伪造的响应完成标记再注入恶意指令TAPTree-of-Attacks with Pruning原本用于越狱的多LLM协同攻击被改编用于提示词注入研究设定模型与数据集基础模型Llama-7B、Mistral-7B、Llama3-8B等微调数据集基于Alpaca等标准指令微调数据集进行增强评估基准AlpacaEval用于衡量模型效用攻击评估设置攻击者被假设知道提示内容和应用格式但无法修改提示针对每种攻击类型设计了多种变体进行测试如Ignore Attack的10种变体对Completion攻击区分了使用合法分隔符Completion-Real、近似分隔符Completion-Close和无关分隔符Completion-Other三种情况训练成本论文特别强调StruQ的训练成本远低于从头训练一个LLM后者需要数百万美元。具体而言它是在现有预训练模型基础上进行指令微调计算开销与常规指令微调相当。综合分析从安全视角看StruQ的价值StruQ最精妙之处在于它将安全设计的底层逻辑应用到了LLM领域。回顾计算机安全史SQL注入的解决方案是预处理语句Prepared StatementsXSS的解决方案是输出编码/输入过滤命令注入的解决方案是参数化——所有这些方案的共同点都是将控制流与数据流彻底分离。StruQ做的事情本质上完全一样把LLM的输入从不安全的单字符串API改造成安全的结构化查询API。这种站在巨人肩膀上的设计思路使得StruQ在方法论上具有很高的说服力。从实用视角看StruQ的局限但我们也需要清醒地看到几个问题第一防御并非绝对。后续研究2026年已经展示了基于注意力的架构感知攻击能够以70%的成功率突破StruQ。这意味着攻击者与防御者的博弈仍在继续StruQ是重要的一步但不是终点。第二部署需要改造。StruQ要求应用端部署安全前端并对LLM进行专门的微调——这对于已经上线、难以更换模型的系统来说改造成本不容忽视。第三安全前端的过滤机制能否在实践中做到滴水不漏任何过滤逻辑的漏洞都可能被攻击者利用。这需要严谨的形式化验证或充分的对抗测试。论文的学术贡献从学术角度看这篇论文有几个值得关注的贡献问题定位准确精准指出了提示词注入的两个根本原因——输入中缺乏控制/数据分离 LLM被训练成执行输入中的任何指令解决方案系统化不是打补丁而是从输入格式和模型训练两个层面系统性重构评估全面覆盖了从简单到复杂、从手工到自动生成的多类攻击开源可复现代码和项目主页均已公开实践应用适用场景如果你的LLM应用涉及以下场景StruQ值得重点关注需要处理外部/用户提供的数据如文档分析、网页摘要、API返回结果处理对安全性有较高要求如企业级应用、涉及敏感数据的场景希望在不显著牺牲模型性能的前提下提升安全性落地建议1. 从安全前端开始即使暂时无法微调模型部署安全前端使用特殊分隔符并过滤用户输入也能在一定程度上提升安全性。2. 评估攻击面先梳理你的应用中哪些部分可能被注入恶意指令——用户评论、上传文档、网页抓取内容等都是高风险入口。3. 考虑分阶段部署第一阶段在现网流量中收集数据评估当前遭受注入攻击的风险程度第二阶段在测试环境部署StruQ验证其对业务功能的影响第三阶段逐步灰度上线4. 保持持续关注StruQ是2025年的技术而攻击技术仍在演进。建议关注后续改进方案如SecAlign以及学术界的最新进展。参考资料来源原始论文https://arxiv.org/abs/2402.06363项目主页https://sizhe-chen.github.io/StruQ-Website代码仓库https://github.com/Sizhe-Chen/StruQUSENIX Security 2025 会议论文https://www.usenix.org/conference/usenixsecurity25/presentation/chen-sizheBAIR博客解读https://bair.berkeley.edu/blog/2025/04/11/prompt-injection-defense