IIT Bombay与Adobe Research研发逆向语言模型，从LLM输出近乎完美还原提示词，企业专有系统提示面临安全风险

一句话看懂

IIT Bombay与Adobe Research开发出逆向语言模型，能从LLM输出文本近乎完美还原原始提示词，无需模型权重，跨模型适用，企业专有系统提示面临安全风险。

详细发生了什么

印度理工学院孟买分校（IIT Bombay）与Adobe Research的研究人员构建了一个逆向语言模型，能够从大语言模型（LLM）的输出文本中，以近乎完美的准确率重建原始提示词。该方法名为“Previous-Token Prediction”（前词预测），核心创新在于不需要访问模型的内部权重，且在不同模型之间具有通用性。

这意味着，即使攻击者无法直接获取模型参数，仅通过观察模型的输出，就能推断出系统提示词的具体内容。对于依赖专有系统提示词来定制模型行为的企业来说，这构成了严重的安全隐患。系统提示词往往包含业务逻辑、安全限制、数据格式等敏感信息，一旦泄露，可能被恶意利用。

该研究已在相关学术平台发布，但尚未公布完整的技术细节。研究人员指出，这一方法在多个主流LLM上进行了测试，均表现出高准确率，表明其具有广泛的适用性。

中文圈视角

这项技术对中文圈用户和企业的影响不容忽视。首先，国内许多企业使用LLM时，会精心设计系统提示词来规范输出，例如在客服机器人、内容审核工具中嵌入特定的业务规则。如果这些提示词能被轻易逆向，竞争对手或恶意攻击者可能借此复制商业逻辑，甚至绕过安全限制。

其次，中文圈目前对提示词泄露的讨论较少，多数关注点集中在模型性能和应用场景上。此次研究提醒我们，提示词不仅是“调教”模型的工具，更是企业的核心资产。对于使用国产模型（如DeepSeek、Kimi）或开源模型（如Qwen）的用户，同样面临此类风险，因为逆向方法不依赖特定模型。

此外，国内监管环境对数据安全和内容安全要求严格，提示词泄露可能导致合规问题。例如，若系统提示词包含敏感的业务数据或用户隐私信息，泄露后可能违反《数据安全法》和《个人信息保护法》。因此，中文圈开发者应尽早关注提示词防护，如采用动态提示词、加密存储或定期轮换策略。

几条值得记住的细节

逆向方法名为“Previous-Token Prediction”，无需访问模型权重。
该方法在多个主流LLM上测试，跨模型适用，准确率接近完美。
研究由IIT Bombay与Adobe Research联合完成，已公开发布。
企业依赖的专有系统提示词可能被轻易还原，构成安全风险。
提示词泄露可能影响业务逻辑、安全限制及合规性。

一句话总结

提示词不再是秘密，企业需重新审视系统提示词的安全防护策略，以防商业逻辑泄露。