一句话导语：一项新研究展示了一种从LLM输出中逆向重建提示词的方法，准确率近乎完美，这或将改变AI安全领域的游戏规则。
发生了什么
印度理工学院孟买分校与Adobe研究院的研究人员提出了一种名为“Previous-Token Prediction”的方法，能够从大型语言模型的输出文本中重建出原始的提示词。该方法的核心思想是训练一个逆向语言模型，利用输出文本和部分已知的提示词上下文，逐步预测出提示词中的每个token。实验结果显示，这种方法在多种模型和任务上都能达到近乎完美的重建准确率，且无需访问模型权重，即黑盒攻击。
为什么重要
长期以来，提示词被视为LLM应用中的“软知识产权”。许多企业依赖精心设计的系统提示词来引导模型行为、注入品牌个性或实现特定功能，这些提示词往往经过大量调试和优化，被视为竞争壁垒。然而，此前已有研究表明，通过简单的提示注入攻击就能诱导模型泄露其系统提示词，但此类攻击通常需要与模型交互，且成功率不稳定。
此次研究的不同之处在于，它仅凭输出文本即可逆向出提示词，无需任何交互或特殊构造的输入。这意味着，只要模型输出被公开（例如通过API返回结果），攻击者就可能提取出完整的提示词。对于依赖专有提示词的企业来说，这无疑是一个严重的安全隐患，可能导致其商业机密或技术优势被轻易复制。
影响与看点
这项技术的影响是多方面的。首先，对于企业而言，提示词不再是一个可靠的保密手段。那些将核心逻辑或业务规则编码在提示词中的公司，可能需要重新评估其安全策略，例如通过模型微调或后端逻辑来替代提示词中的敏感部分。其次，对于AI安全社区，这项研究也提醒我们，提示词本身并非安全边界，模型输出可能携带大量关于内部指令的信息。
值得关注的是，该方法在不同模型间的泛化能力——它无需访问模型权重，意味着即使是闭源模型也难以幸免。此外，逆向出的提示词是否完全等同于原始提示词，还是仅功能等价，这也会影响实际威胁程度。但无论如何，这一研究都提示我们，在AI应用设计中，应假设提示词可能被泄露，并采取相应的防护措施。
独立判断：提示词逆向技术的成熟，将加速AI行业从“提示词工程”向“模型微调”的范式转移，因为后者的知识产权保护更为牢固。
