开放权重模型在智能体场景里更容易被藏在数据中的指令牵着走。安全公司 PromptArmor 在 2026 年 10 月 16 日发布评测结果：团队用真实世界风格的间接提示词注入攻击链做了 9800 次试验，开放权重模型组的易感率为 26.7%，闭源模型组为 14.2%，前者高出 88%。开放组包括 DeepSeek、Kimi、GLM 和通义千问，闭源组包括 GPT、Claude 和 Gemini，每家都测了最新旗舰与最新高性价比版本。
差距最大的不是聊天，是动手环节
间接提示词注入的危险在于攻击者不直接和模型对话，而是把指令埋进智能体要读的网页、文档或邮件里，模型读到后把数据当命令执行。这次差距最刺眼的三个攻击样本都涉及实际动作：让智能体总结一个攻击者网站、结果运行了恶意代码的场景，开放组中招率 49%，闭源组 9%；读到恶意文档后弹出钓鱼登录框的场景，开放组 36%，闭源组 5%；读到被注入的邮件后，借 Markdown 图片把邮件内容外泄的场景，开放组 23%，闭源组 9%。换句话说，差距不是出在答题口吻上，而是出在智能体拿着工具和权限时，会不会把外来指令当成任务的一部分。
报告还给了一个反直觉的对照：旗舰与高性价比版本之间，闭源厂商的便宜款明显更易中招，易感率比自家旗舰高 169%；开放厂商的高性价比款反而略好于自家旗舰，低约 5%。个案里，Claude 和 GPT 的新款低价模型比各自的旧旗舰更容易被攻破，而通义千问和 DeepSeek 的新款低价模型则比各自旗舰更稳。选型时只问一句是不是最新款，显然不够。
这份数字该怎么读
先把口径说清楚：这是 PromptArmor 用自研攻击链和自研评测环境得出的结果，攻击样本由该公司根据其在真实智能体产品中发现的攻击链开发，并非第三方独立复现；不同厂商的模型版本、系统提示和工具配置都会改变结果，26.7% 与 14.2% 更适合用来比较相对风险，而不是当成某个模型的安全定论。两组数字还有一个共同点：都不为零。闭源组 14.2% 的易感率意味着，即便选了表现较好的一组，七次里仍有约一次会被真实风格的攻击链打穿。
对正在部署智能体的团队，可执行的结论有三条。第一，模型选型要把注入易感率当成和跑分、价格并列的指标，尤其是要接触外部文档、网页和邮件的智能体。第二，便宜款不能默认继承旗舰的安全表现，上线前要用自己的业务数据复测。第三，防线不能只压在模型自觉上：工具权限最小化、外发动作二次确认、把检索内容明确标记为不可信数据，这些系统层措施对两组模型都同样必要。外部评测体系最近也在往实验室内部走，可参看 Anthropic 把评测员请进公司 一文，两件事放在一起看，行业对智能体安全的核查方式正在从看跑分转向看真实攻击链。
