提示词注入涉及哪些合规与监管要求？

1. 映射到多个监管框架

提示词注入并非只对应单一法规，而是同时映射到多个重叠的框架，各自要求不同的合规姿态：

2. EU AI Act 的强制约束

EU AI Act 于 2024 年生效，对高风险 AI 系统提供商施加了具有法律约束力的义务，涵盖合规评估、透明度要求与持续监控。其第 15 条明确要求高风险系统须"能够抵御未授权第三方利用系统漏洞篡改其用途、输出或性能的攻击"，并点名了数据投毒、对抗样本、模型规避、机密性攻击等威胁类别——提示词注入正落入这一范畴。对违规者，罚款可达全球年营业额的 3%。

3. 合规与安全的分工

需要区分"合规义务"与"安全控制"：EU AI Act 与 ISO 42001 规定的是"组织必须证明什么"（问责、人工监督、事件报告、文档记录），而非具体的技术检测方法。企业通常需要叠加 OWASP、MITRE ATLAS 等技术框架，才能把合规要求落到可检测、可验证的防护措施上。