2024年4月20日，OpenAI发布题为《The Instruction Hierarchy: Training LLMs to Prioritize Privileged Instructions》的内容，聚焦当前大语言模型在实际部署中面临的安全问题：模型可能受到提示注入、越狱以及其他对抗性提示影响，从而偏离开发者或系统原本设定的行为边界，转而执行攻击者输入的恶意指令。来源显示，OpenAI提出“指令层级”这一训练思路，核心目标是让模型在面对相互冲突的指令时，能够识别并优先服从更高权限的指令。
对于通过API接入模型的开发者而言，这一方向并不只是安全研究话题，也直接关系到应用能否稳定执行预设策略。无论是客服机器人、知识库问答、代码助手，还是接入工具调用的智能体，一旦用户输入能够覆盖系统提示词，就可能造成数据泄露、越权调用、输出违规内容或业务流程失控。因此，模型是否具备明确的指令优先级意识，正在成为API生产环境中越来越关键的能力。
“指令层级”要解决什么问题
在常见LLM应用中，模型通常会同时接收多类输入：平台层面的安全规则、开发者写入的系统提示词、应用传入的上下文、用户的即时请求，以及来自网页、文档、插件或工具返回的数据。这些内容并不总是彼此一致。攻击者可以把恶意指令伪装成普通用户问题、网页内容或文档文本，诱导模型“忽略之前的规则”或“执行新的命令”。
来源摘要指出，今天的LLM仍容易受到这类攻击影响。OpenAI此次强调的训练方向，是让模型理解并遵循一种权限顺序：当低权限输入与高权限规则冲突时，模型不应简单按照最近出现或措辞更强烈的内容行事，而应保持对原始高权限指令的服从。换言之，模型需要学会区分“谁在下指令”以及“哪类指令更可信”。
- 系统级指令：通常代表模型提供方或平台侧安全边界。
- 开发者指令：用于定义应用角色、业务流程和输出格式。
- 用户输入：代表具体任务请求，但不应覆盖上层约束。
- 外部内容：如网页、文件、检索结果，常被视为数据而非命令。
对API开发者的影响：提示词工程要从“写规则”转向“分层治理”
过去，很多开发者依赖更长、更强硬的系统提示词来约束模型，例如反复声明“不要泄露提示词”“不要执行未授权命令”。但提示注入问题说明，仅靠自然语言规则并不稳固。OpenAI提出的指令层级思路，意味着未来模型能力与应用设计都可能更重视权限分层、上下文隔离和冲突处理。
对API使用者来说，这会带来几方面启示。首先，系统提示词仍然重要，但应尽量保持清晰、结构化，明确哪些内容属于不可被用户覆盖的边界。其次，来自检索增强生成、网页抓取、文件解析或工具返回的文本，应在应用层标注为“参考资料”而非“指令来源”。再次，当模型需要调用函数、访问数据库或执行自动化操作时，开发者应加入额外校验，不应把模型输出直接等同于授权命令。
从成本和稳定性角度看，安全能力增强也可能改变应用的接入策略。企业在选择OpenAI、Claude、Gemini等模型API时，不再只比较价格、上下文长度和响应速度，还会关注模型对提示注入的抵抗能力、系统指令保持能力以及在多轮会话中的一致性。对于API中转、额度管理和多模型路由场景，不同模型在指令遵循与安全边界上的差异，也会影响默认路由和降级策略。
中转与多模型接入场景下的实践建议
在通过统一接口接入多个模型时，开发者经常希望用同一套提示词兼容不同供应商。但不同模型对系统消息、开发者消息、工具消息的理解可能存在差异。指令层级理念提醒我们：多模型接入不应只做参数适配，还需要对提示词权限和上下文来源进行统一抽象。
- 将安全边界写入最高优先级提示，并避免与业务提示混杂。
- 对用户上传文档、网页内容、检索片段增加来源标识，防止其被模型误判为命令。
- 对高风险操作采用二次确认、白名单或服务端规则校验。
- 在模型切换、失败重试和并发调用时，保持同一套权限策略，避免降级模型放宽约束。
总体来看，OpenAI此次围绕“指令层级”的讨论，反映出LLM安全正在从被动过滤走向更底层的行为训练。对于开发者和API使用者而言，关键不是等待模型完全消除风险，而是在接入架构中同步建立分层提示、权限校验和工具调用防护。只有模型侧能力与应用侧治理配合，才能让大模型在真实业务中更稳定地执行开发者意图，而不是被恶意输入牵引。