PromptGuard开源发布，轻量级本地提示词安全网关，支持Fail-Closed机制与三级检测

近日，一款名为 PromptGuard 的开源提示词安全网关项目在开发者社区引发关注。该项目由个人开发者构建并开源，旨在应对生成式 AI 应用中日益突出的安全隐患——尤其是 OWASP LLM Top 10 中排名靠前的提示词注入（Prompt Injection）与模型越狱（Jailbreak）攻击。

当前企业级大模型部署面临三重现实困境：传统 Web 应用防火墙（WAF）仅依赖正则匹配，对语义变形攻击几乎无效；云端安全护栏虽具备较强语义理解能力，但存在数据出境合规风险；而现有开源方案（如 LLM Guard）普遍存在部署复杂、故障时默认 Fail-Open（静默放行）等问题，一旦防护模块失效，反而成为安全盲区。

PromptGuard 的核心目标是提供一种“零配置、纯本地、轻量化”的替代方案。其架构基于 FastAPI 构建，无需额外中间件或数据库依赖，可直接部署于企业内网环境，确保敏感数据不出域。

系统采用纵深防御思路，将检测链路划分为三层递进结构：

第一层为规则层，通过正则表达式快速拦截显式恶意指令（如 "ignore previous instructions"），响应时间在微秒级；

第二层为相似度层，基于字符级 N-gram 与 TF-IDF 向量化计算余弦相似度，有效识别近义词替换、Base64 编码等常见绕过手段；

第三层为语义层，调用本地 Ollama 部署的轻量级大模型（默认为 Qwen2.5:3b），以 JSON 格式输出风险等级判定（high/medium/low）。该层可灵活替换为更大参数量模型（如 14B 或 72B）甚至 GPT-4 API，仅需修改环境变量即可生效，无需改动业务逻辑。

值得注意的是，PromptGuard 在工程实现上强调两个关键设计原则：Fail-Closed 状态机与正交可观测性。

Fail-Closed 是安全产品的底线要求。当语义检测模块出现异常（如模型不可达、返回乱码），系统不会默认放行请求，而是强制赋予高风险分值（0.7），触发人工复核流程，并跳过生成阶段以避免二次注入。其核心逻辑如下：若检测器状态为 degraded 或 fault，则直接返回兜底风险分；否则依据模型输出映射为具体风险值。该机制从根本上规避了“防护失效即等于无防护”的致命缺陷。

正交可观测性则针对运维排障痛点。传统日志往往混杂错误信息，难以区分是攻击行为还是系统故障。PromptGuard 将审计日志拆解为三个独立维度：llm_status（检测链路状态）、gen_status（生成链路状态）与 action（最终决策结果），配合 Streamlit 实现四色可视化看板。例如，当黄色“降级”事件集中出现时，运维人员可快速定位是模型超时还是后端接口异常，大幅提升故障响应效率。

在实际开发过程中，项目团队也直面了大模型用于安全检测的固有局限性：

其一，轻量模型存在指令遵循不稳定问题，偶有输出非标准格式（如中文“安全”而非预设 high/low）。解决方案是在强约束 Prompt 基础上增加类型校验层，一旦模型偏离规范，即标记为 fault 并保留原始输出供追溯。

其二，长上下文场景下易发生“注意力稀释”，攻击者通过大量铺垫文本将越狱指令隐藏于末尾，导致小模型漏报。对此，PromptGuard 依靠前两层检测兜底，并计划后续引入滑动窗口切片机制提升长文本检测精度。

其三，算力成本与延迟之间的权衡。本地 3B 模型单次推理约需 4 秒，难以支撑高并发场景。为此，系统设计了分级响应策略：低风险请求正常流转，中高风险请求进入 review 或 block，高危请求直接阻断，避免无效生成消耗资源。

从行业视角看，PromptGuard 的出现呼应了 AI 安全需求的结构性升级。据 IDC 预测，到 2030 年中国 AI 安全市场规模将达 340 亿元，五年复合增长率超 50%。近期天融信等厂商已推出企业级 AI 网关产品，集成统一接入、智能路由与安全防护能力，其中大模型安全引擎成为标配模块。但商业产品多面向中大型客户，部署门槛较高；而 PromptGuard 这类轻量级开源方案，填补了中小企业与开发者群体在本地化、低成本防护上的空白。

此外，OWASP ASI06 所提出的“记忆投毒”风险进一步凸显了会话级安全的重要性。提示词安全网关不仅是第一道防线，更是构建可信 AI 应用生态的基础组件。随着 Agent 技术普及，安全边界正从“模型本身”扩展至“交互过程”，提示词防护的价值将持续提升。

目前，PromptGuard 已开源至 GitHub，支持 Docker 快速部署，文档详尽，适合技术团队快速集成至现有大模型服务链路中。其设计理念表明：安全防护不必依赖重型架构，通过合理分层与工程严谨性，轻量工具同样可实现高可靠保障。