quiz.json

{
  "lesson": "15-indirect-prompt-injection",
  "title": "间接 prompt 注入 —— 生产环境的攻击面",
  "questions": [
    {
      "stage": "pre",
      "question": "间接 prompt 注入（IPI）与直接 prompt 注入的区别是什么？",
      "options": [
        "IPI 需要对目标模型进行微调",
        "IPI 把指令嵌入到 agent 在正常运行中消费的外部内容（网页、邮件、工具输出）里，攻击者根本无需触碰用户的 prompt",
        "IPI 是越狱的同义词",
        "IPI 只对多模态模型有效"
      ],
      "correct": 1,
      "explanation": ""
    },
    {
      "stage": "check",
      "question": "以下哪一项不是本课列出的三种 IPI 投递载体之一？",
      "options": [
        "检索增强生成（被投毒的检索）",
        "用户直接编辑系统提示",
        "工具输出",
        "收件箱 / 文档工作流"
      ],
      "correct": 1,
      "explanation": ""
    },
    {
      "stage": "check",
      "question": "为什么用户输入过滤器会漏掉 IPI？",
      "options": [
        "过滤器无法读取 JSON",
        "用户输入过滤器区分大小写",
        "载荷从不出现在用户输入中；它出现在检索到的或工具提供的内容里",
        "过滤器只在模型响应之后运行"
      ],
      "correct": 2,
      "explanation": ""
    },
    {
      "stage": "check",
      "question": "面向 AI agent 的信息流控制（IFC）的核心原则是什么？",
      "options": [
        "加密所有检索到的内容",
        "只使用单轮 prompt",
        "默认禁用所有工具",
        "按来源把内容标注为可信或不可信；由不可信内容触发的动作必须在执行前由可信输入批准"
      ],
      "correct": 3,
      "explanation": ""
    },
    {
      "stage": "post",
      "question": "Nasr 等人（2025 年 10 月，《The Attacker Moves Second》）在自适应攻击下对 12 种已发表的 IPI 防御有何发现？",
      "options": [
        "自适应攻击太昂贵，无法评估",
        "它们所报告的近乎零的 ASR 在自适应攻击下依然成立",
        "只有一种防御被攻破",
        "尽管它们最初宣称近乎零的 ASR，自适应攻击（梯度、RL、随机搜索、人工红队）攻破了其中 >90%"
      ],
      "correct": 3,
      "explanation": ""
    },
    {
      "stage": "post",
      "question": "prompt 注入在 2025 年 OWASP LLM Top 10 中排第几？",
      "options": [
        "未列入",
        "LLM01（榜首，应用层第 1 大威胁）",
        "LLM05",
        "LLM10（最低）"
      ],
      "correct": 1,
      "explanation": ""
    }
  ]
}