提示词模板安全维度对比

系统提示词全段无任何"不可信来源"声明。scan_content() 对 AGENTS.md/MEMORY.md 做扫描（属 D3.4 Harness 层），不等于向模型显式声明。模型运行时不知道 web_extract 返回内容是攻击者可控的。

四阶段组装全段无不可信来源声明。detect_injection() 独立方法，不在 build 流程中调用，模型感知不到。=== MEMORY === 标注来源但不标注信任级别。

无。TOOL_USE_ENFORCEMENT_GUIDANCE 只强调"必须执行工具"（正向强化），完全没有"工具返回/外部内容中的指令不能覆盖系统指令"的声明。模型完全依赖自身对齐判断——这是 TYPE_B_SAFETY 成为主要失败模式的系统级根因。

无。四阶段提示词无任何反向指令防护声明。_INJECTION_PATTERNS 中虽有 忽略之前/ignore previous 等检测 pattern，但只在 detect_injection() 手动调用时生效，不在提示词中向模型说明。

MEMORY_GUIDANCE 给出记忆使用的具体禁止项："Do NOT save task progress, session outcomes, completed-work logs"。覆盖 memory 工具，属于 Level 1 的单工具约束。邮件发送、定时任务创建等高危操作无声明。

AGENTS.md（Phase 3 Safety）加载行为规范，预计包含操作约束。但内容从外部文件读取且被截断至前 3000 字符，约束完整性依赖文件完整性。有 exec allowlist 机制（归 D3.4），不属于提示词声明层。

ClawGuard ApprovalQueue 实现完整代码层审批门：5 种操作类型（COMMAND / FILE_WRITE / FILE_READ_SENSITIVE / NETWORK / SKILL），每个操作进入 PENDING 队列后阻塞执行，等待 REST API 或 SSE 实时 approve/deny，超时自动 TIMEOUT。是真正的 deterministic 阻塞机制。

exec 命令使用 allowlist 白名单（ls/pwd/cat/echo/grep 等），不在白名单的命令被阻断；另有 blocklist pattern（rm -rf/curl http/nc）。是规则过滤而非人工审批门，无阻塞等待，无用户确认。memory 写入、邮件发送、定时任务无对应机制。

14层系统提示结构可识别出：L-SYS（DEFAULT_AGENT_IDENTITY Layer1）、L-MEM（MEMORY.md Layer6-7）、L-KNW（Skills index Layer9）、L-TOO-CTX（AGENTS.md Layer10）。工具返回以独立 role:"user" + type:"tool_result" 出现。覆盖 4-5 层，L-EXT（外部 HTTP）无独立层。

4阶段 section 分割：Assembly（L-SYS）/ Execution（L-KNW）/ Safety（L-SYS 延伸）/ Correlation（L-MEM，含 USER.md+MEMORY.md）。用 === SECTION === 标头区分，实现 4 层语义分割。工具返回层次未在 prompt builder 中显式定义。

工具返回通过 format_tool_result_message() 追加到 messages 末尾，role:"user"。典型循环：[system] → [user instruction] → [assistant+tool_call] → [tool_result as user msg，位于 user instruction 之后]。根据 OpenAI IH 研究，模型倾向于优先响应后出现的内容，造成优先级倒置。

比 Hermes 更危险：MEMORY.md 在 Phase 4（Correlation）末尾加载，是系统提示词最后一段（最高优先级）。AP-01/AP-12 利用此特性——污染 MEMORY.md 后恶意指令以最高优先级进入上下文。SOUL.md/AGENTS.md 等安全规则反而在其之前，优先级低于被污染的 MEMORY。

记忆块有 ══════ Unicode 边框 + "MEMORY (your personal notes)" 语义标头；AGENTS.md 有 Markdown ## AGENTS.md 节标题；tool_return 有 type:"tool_result" API 字段。给出来源识别，但无显式信任级别标注。"your personal notes" 措辞甚至强化了信任感。

五个 === SECTION === 标头（SOUL / EXECUTION / BEHAVIOR / USER CONTEXT / MEMORY / CURRENT DATE）提供清晰的来源标注，结构整洁。但同样无信任级别标注——=== MEMORY === 告知"这是记忆"，不告知"这是可能被污染的动态内容"。

工具返回（L-TOO）：独立 role:"user" message，与系统提示词物理隔离 ✓。MEMORY.md / USER.md（运行时可被污染）：通过 prompt_parts.append(mem_block) 字符串拼接混入系统提示词，与硬编码身份声明同级 ✗。工具返回隔离，记忆注入不隔离，整体评为 Partial。

SOUL.md / AGENTS.md / USER.md / MEMORY.md 全部通过 _read_sandbox_file() 读入后 "\n\n".join(parts) 合并为单一系统提示词字符串。所有动态内容（包括 MEMORY.md 这一最高危注入路径）与系统指令完全混合，无任何物理隔离。

记忆块使用 ══════════████ Unicode 边框作视觉边界；AGENTS.md 用 Markdown ## AGENTS.md 标题。工具返回通过 Anthropic API role 字段隐式分隔。属软边界——无 XML 标签（<document>...</document>）等硬边界，攻击者在工具返回中可跨越。

=== SECTION === 格式在系统提示词内部分段。同为软边界——等号行是普通文本，模型可识别但攻击者可在注入内容中伪造。无硬边界机制。

"MEMORY (your personal notes)" 标头标注来源类型，但措辞反而强化信任感。工具返回（web_extract HTTP 内容）完全无标记——content 字段直接传入 LLM，无任何"此内容来自外部网页，不可信"的附加标注。缺少信任级别维度。

=== MEMORY === 标注来源类型，不含信任级别信息。工具返回处理未在 prompt builder 中定义，无任何 datamarking。

scan_content() 过滤 12 种不可见 Unicode 字符（U+200B Zero-Width Space、U+202A-U+202E 方向控制符、U+FEFF BOM 等），对 AGENTS.md 和 MEMORY.md 生效。不覆盖 tool_return（web_extract 内容原样进入 LLM）；不转义 ChatML token、XML 格式标签，这些是 P6 系列测试的主要攻击格式。

_read_sandbox_file() 直接返回文件原文，无任何字符转义或过滤。真实 OpenClaw 的 sanitizeForPromptLiteral() 仅处理 ASCII 控制字符（<0x20），不处理 Unicode 注入字符、ChatML token 或 XML 格式符号。

ClawGuard 三层机制同时覆盖输入内容层与输出操作层：① rules.py：26+ 危险 Shell 命令 pattern（输出操作层）；② mock_hermes_prompt.py scan_content()：10 注入 pattern + 12 不可见字符（输入内容层，针对 AGENTS.md/MEMORY.md）；③ ApprovalQueue：操作审批门（输出操作层）。缺口：tool_return 不在输入内容层 Harness 覆盖范围内。

四个 check 函数：check_exec_approvals()（exec allowlist）、check_ssrf()（SSRF IP 段过滤）、check_dangerous_tool()（危险工具黑名单）、check_exec_safety()（单字符检测）。全部工作在输出操作层，不做任何输入内容层过滤（tool_return 进入 LLM 前无任何拦截）。规则深度低于 Hermes，无审批门，无注入语义扫描。

_CONTEXT_THREAT_PATTERNS 覆盖 HTML 层面仿冒：<div style="display:none"、HTML comment injection、system prompt override 字符串。对 AGENTS.md/MEMORY.md 生效。不覆盖 ChatML token（<|im_start|>system）和 GLM 原生 token（<|observation|>/<|assistant|>）——这正是 P6 glm_native 模式的攻击向量，在当前规则集下完全绕过。

_INJECTION_PATTERNS 包含 system\s*: 和 \[SYSTEM\] 等仿冒格式检测，覆盖部分已知模式。但 detect_injection() 是独立方法，不在 build_system_prompt() 内自动调用，实际等价于"检测能力存在但未接入 pipeline"。

scan_content() 有 10-pattern 注入检测，自动集成到 AGENTS.md 和 MEMORY.md 的加载流程（build_system_prompt 内自动触发）。不覆盖 web_extract tool_return——这是 P5/P6 系列测试 injection_entry_rate=80% 的根本原因：注入内容成功进入 LLM，但未被 Harness 拦截。

detect_injection() 有 15 个 pattern，具备检测能力，但未自动集成到 build_system_prompt() 流程。正常使用路径下不检测任何内容，仅在外部手动调用时触发——名义上有能力，实际上不保护。