# 提示词能做什么

先说结论：**能显著降低无意泄露，不能当边界。**

## 它做不到的四件事

1. **不改变能力。** 规则约束"会不会说"，不改变"拿不拿得到"。实测过：规则里没写允许，文件照样可读。
2. **可被绕过，且不需要恶意。** 换个问法、套一层转述、让它在推理里拼碎片，都可能漏。模型是概率性的。
3. **扛不住提示注入。** agent 会读网页、文件、工具返回，这些内容里夹带指令就能盖过原规则。
4. **不可审计。** 出事只能说"它应该没说"，没法证明。

## 它值得做的地方

写成明确的行为规范，能挡住大部分**无意**泄露。作为纵深防御的第二层有价值，成本几乎为零。

## 一个容易漏的点

这类规则要求 agent 能可靠判断"提问的是谁"，而频道里这件事并不牢——引用、转述、多人指代不清都会让身份判断出错。**身份判定本身也是软的**，最后还是得靠频道成员关系这种硬约束兜底。