如何使用本教材

本书适合谁

本书面向守护LLM应用和智能体安全的人员，主要读者包括AI产品安全审查人员、安全工程师和智能体平台开发者。本书假定读者有用LLM API开发过至少一项功能的经验（红带LLM API开发者水平），并具备Web应用安全的基本功（认证与授权、XSS、SQL注入、机密值管理）。具备这些背景，就可以仅凭本书学习AI安全专项课程的全部内容。

本书采用防御者的视角，着重培养判断“在哪些位置设置哪些控制才能减小损害”的能力，而不只是认识“有哪些攻击”。对攻击技术的介绍，以能够识别、防范并在自己的系统中测试为限。本书不收录实际可用的攻击字符串，也不提供针对其他组织系统的操作步骤。红队练习也始终要求在获得授权的自有系统中使用虚构数据进行。

本书不深入讨论一般网络安全（防火墙、入侵检测、网络隔离）和模型训练攻击研究（对抗样本生成、训练数据提取研究）。不过，供应链和数据投毒等需要运营者作出判断的内容，会讲解到实际工作所需的程度。

本书结构

正文按考试的五个领域各设一章。第1章威胁建模绘制地图，第2章提示词注入剖析最主要的威胁，第3章数据保护与权限学习缩小损害范围的设计，第4章防御验证与红队测试衡量设计是否实际有效，第5章运营安全与事件响应讨论运营期间的安全问题与事件处置。实操练习相互衔接，前一章的产出将成为后一章的输入。

每章均包含相同的十节内容。“学习目标”和“引言”确定方向，“核心概念”和“深入阅读”介绍主要内容及取舍，两个“工作场景”展示决策过程。之后是“易错点”“要点速览”“查阅官方文档”“自测”（答案见附录B）以及30～60分钟的“实操练习”。

附录A为术语表，附录B为自测答案与解析，附录C为考试当天指南，附录D为本书引用的官方文档列表。首次阅读请按章节顺序学习，第二次起可围绕易错点和要点速览复习。

考试概览

AI安全专项考核共35道题，限时60分钟。每题分值有所不同：检验概念或应用单一原则的题目为2分，需要综合分析多项条件的分析题为3分。将所得分数换算成百分制原始分，达到75分即为通过，并根据原始分显示1～9等级。免费练习题集为10道题、25分钟。

提示词注入的占比最大，但实际题目会交叉考查多个领域。注入题的正确措施经常是缩小权限（第3章），红队题的答案也常来自威胁模型（第1章）。不要孤立背诵各章，而应将其理解为“找到路径、减小损害、衡量效果、投入运营”的完整流程。

题目是这样的

试卷形式类似韩国高考（修能）的试卷和OMR答题卡。无论题型如何，作答方式都是选择一个编号（①～⑤）。考题形式共有五种，在试卷上的呈现方式如下。

大多数题目会给出简短的工作场景，要求作出决策。场景中有一两个加粗条件。例如，若条件为“不能改变上线日期”，那么需要数月的重新设计方案再安全也不能成为答案；若问的是“能够通过代码强制执行的控制”，就应排除在系统提示词中增加一句话的选项。分析题的设计使得某个条件改变时，正确答案也会改变，因此只凭关键词选择就会落入貌似合理的错误选项。阅读每个选项时，应养成判断“这项措施满足场景的全部条件，还是仅满足其中一部分”的习惯。

六周学习计划

本计划按每天一小时、每周五天安排。实际工作经验较多的读者可以把第1～2周合并为一周。

表述与出处原则

本书的标准、厂商和法规信息已于2026年10月20日在各官方页面核实。采用的基准版本与考试一致：OWASP Top 10 for LLM Applications 2025年版（2026年8月发布了调整排名的2026年版，对照表见第1章）、OWASP Top 10 for Agentic Applications 2026年版（2025年12月公开）、MCP（Model Context Protocol）2026-07-28版，以及韩国《个人信息保护法》及其施行令于2026年9月11日施行的版本。产品名称、设置界面、功能范围可能变化，在工作中应用前请查阅各章所列的官方文档。

表述原则如下。

1. 产品、API、参数名称保留原文（tool_result、safety_identifier、Prompt Shields）。
2. 术语首次出现时附上中文解释，此后保持用词一致。例如，excessive agency统一译为“过度代理”。
3. 不写入厂商文档未确认的功能、限额或价格。未能核实的内容仅作为不指向特定厂商的一般原则说明。
4. 法规引用以韩国国家法令信息中心的现行条文为准，本书的法规说明不构成法律意见。实际发生事件时，应遵循个人信息保护负责人和法务人员的判断。
5. 案例中的组织和人物均为虚构。