OWASP

1. 为什么差异是不可信的输入

2. PR中的具体注入模式

- 声称是系统策略覆盖的注释。 - 提交消息要求机器人跳过Gitleaks发现。 - 包含长base64 blob的测试文件，标记为“受信任的指令”。 - PR正文中的Markdown模拟产品所有者授予例外。

这些都不需要异国工具。它们需要一个过于友好的模型和一个将不受信任的文本连接到系统通道的管道。

3. 实际可实施的缓解措施

- 独立通道 — 将系统策略存储在服务器拥有的提示中；使用分隔符包裹差异，并明确说明分隔符内的内容是不可信的。 - 预过滤防护 — 在模型处理之前，剥离或标记已知的越狱短语。 - 确定性静态优先 — Semgrep/Gitleaks 的结果不应被默默地丢弃，因为 LLM “不同意”。 - 关闭失败 — 如果防护措施被触发或模型返回空，则升级到人类；不批准。

4. ReviewPilot 的作用（及其谨慎的声明）

ReviewPilot 的支持和审查姿态记录 ，限定模型输入范围到差异，并保持人类作为审批关口。我们不声明完全的注入免疫性——这样的声明本身就会违反诚实规则。我们声明分层控制和默认失败闭合。

5. 评估其他供应商

询问：不受信任的文本如何进入提示？PR评论是否可以禁用秘密扫描？超时时会发生什么？是否有审计跟踪覆盖？如果销售演示文稿只显示正常路径的截图，请离开。

6.

添加一个简短的CONTRIBUTING说明：“不要在代码注释中添加审查者指令。” 教导初级人员，在测试用例中开玩笑的越狱行为可能会成为生产事故。将一个示例加入入职安全培训中，与XSS和SQLi并列.

参考资料

- OWASP 应用程序顶级 10 大安全风险（LLM 应用）— - OWASP LLM 顶级 10 大安全风险 PDF（请查看最新版本） - Semgrep · Gitleaks

仅供教育使用 — 不是渗透测试报告。 © 2026 ReviewPilot AI

7. 提示之外的深度防御

仅靠提示的措辞是脆弱的。将其与允许列表的工具结合使用：审查代理不应获得存储库管理员令牌，不应从运行器打开到任意主机的网络连接，并且在没有人工拉取请求的情况下不应写回规则包。如果您的架构允许模型调用“approvePR”，您已经为注入提供了合并路径。

在每个评论中记录截断的差异哈希和规则集版本。当有人声称机器人忽略了一个发现时，您可以重放静态层是否触发。将“静态遗漏”与“LLM叙述遗漏”分开，可以防止事后总结中的魔幻思维。

对于多租户SaaS运行器，隔离客户工作空间。租户A中的提示注入不得影响租户B的系统提示缓存。更喜欢每个请求的短暂上下文，而不是长期的聊天记忆，它会积累敌对字符串。

每季度使用合成PR进行红队测试，这些PR中嵌入了越狱。诚实地跟踪检测率。发布内部评分；不要宣传“对提示注入免疫”。将该练习与经典的SAST回归包结合起来，以便团队不会过度关注LLM戏剧而忽略SQL连接。

采购语言应引用的名称，要求封闭故障行为，并禁止单个审批者模式。该单一合同条款可以防止将来“效率”切换将您的合并队列变成无监督代理。

请记住，注入不仅仅是恶意。好心的开发人员将ChatGPT转录粘贴到PR描述中。这些转录包含助手角色标记，这些标记会混淆提示的边界。教导模型（和人类）PR描述也是不受信任的。

最后，将支持聊天机器人的知识库与审查代理的系统策略分开。客户询问“如何让机器人批准所有内容？”应从知识库中获得明确的“您不”——而不是来自过于友好的模型的创造性变通方法。

实践者扩展笔记

一致性优于英雄主义。当每个拉取请求都接受相同的初步检查清单时，高级人员会根据架构进行判断，而不是重新发现缺失的测试。将检查清单记录在review-rules.yml中，附上引用，以便新人可以在不猜测意图的情况下挑战规则。

每月测量覆盖率。如果P3样式的瑕疵主导放弃，应收紧或放弃这些规则，而不是训练人类忽略机器人。如果P0安全发现被例行放弃，应调查包是否有噪音或团队是否缺乏培训。

采购应要求fail-closed行为、差异范围模型输入和诚实条款，禁止保证语言。将其与审核规则集版本的权利配对，列出每个PR评论中的版本。

OWASP 和 AI 代码审查代理

和其他工具也应注意安全问题。

什么这不是

不是人类代码审查或安全签署的替代品。

操作员注意事项 1

操作员注意事项 2

操作员注意事项 3

操作员注意事项 4