凌晨三点的CI流水线又红了。这次不是单元测试失败，而是一个叫nukon-pi-detect的小工具，在构建阶段拦住了某条包含"忽略先前指令"的输入字符串。开发者的第一反应可能是烦躁——但安全团队知道，这是过去半年里最值得合并的PR之一。

为什么"内置安全"不是计划

打开网易新闻 查看精彩图片

原文说得很直白：大多数团队发布大模型功能时，测试代码漏洞，却不测试输入里的提示词注入攻击。他们依赖模型自带的安全机制。

这不是计划，是侥幸心理。

提示词注入（Prompt Injection）的攻击面被严重低估。攻击者不需要黑进服务器，只需要在聊天框里输入精心构造的字符串，就能让模型绕过安全限制、泄露系统提示词，甚至执行未授权操作。更麻烦的是，这类攻击往往不触发传统安全工具的告警——它们看起来就像正常用户输入。

48条正则表达式，解决80%的已知威胁

nukon-pi-detect的做法很"复古"：纯确定性检测，正则表达式加Unicode码点检查，零机器学习，零网络调用，零API密钥。

单次扫描耗时不到1毫秒。零运行时依赖。CI集成时，检测到恶意模式直接返回退出码2，默认阻断构建。

它明确承认自己的边界：抓不到新型攻击，不是运行时策略引擎。但它覆盖了红队数据集里八成的已知攻击模式——那些已经被反复利用、写入教科书的手法。

这种"自知之明"反而是产品设计的清醒。安全工具最容易犯的错误，就是承诺做不到的事。nukon-pi-detect把自己定位成第一道滤网，而非终极防线。

离线优先的架构选择

把检测逻辑放在CI阶段而非运行时，这个决策值得拆解。

第一，成本。大模型API按token计费，每次请求前先做本地扫描，避免把恶意输入送进昂贵的推理流程。第二，延迟。1毫秒的本地检查，比任何云端安全服务的RTT都低几个数量级。第三，合规。敏感数据不出境，审计日志留在本地。

但最关键的可能是开发体验。安全工具如果拖慢CI，会被开发者默默禁用。nukon-pi-detect用速度换取了被采纳的资格。

Apache 2.0协议，接受模式提交。这意味着48条规则会随社区贡献增长，但核心架构保持极简——没有膨胀成下一代SIEM的野心。

小工具的启示

这件事的重要性不在于技术复杂度。正则表达式写得好的人满街都是。

它揭示了一个被忽视的工程实践：大模型应用的安全水位，正在被"模型自带安全"的幻觉拉低。真正的防御需要分层，需要在数据流入模型前的每一个节点设卡。nukon-pi-detect填补了CI阶段的空白，用可接受的误报代价，换来对已知攻击的确定性拦截。

如果你正在把大模型功能推进生产环境，不妨在requirements.txt里加一行，在.github/workflows里配一条。1毫秒的检测成本，买的是一个明确的信号：你的流水线至少不是裸奔的。