TL;DR

本文核心观点：

  1. 系统化方法 — Prompt 逆向工程不是漏洞利用，而是通过大规模输出分析重建系统行为模式
  2. 四层递进框架 — 从行为分析（易）到工作流重建（极难），每层都有对应的技术手段
  3. 约束空间映射 — 通过采样、Fuzzing 和边界探测绘制 Prompt 的隐式约束边界
  4. 工程化复现 — 72 小时、85% 相似度，证明逆向工程是可量化的工程问题

RPE 四层方法论

从”可以逆向”到”如何逆向”

在上一篇文章中，我讨论了Prompt逆向工程的风险——你的Prompt可能被竞争对手套取。

但那篇文章停留在概念层：说明了风险，但没有给出方法论。

这篇文章要回答一个更深层的问题：如何系统性地逆向一个AI系统？

这不是为了攻击，是为了理解。理解Prompt逆向工程的技术本质，才能构建真正的防御。

让我们从一个真实案例开始。

案例：72小时逆向工程（代表性叙事，非核实案例）

本节”72 小时 / 1000 个任务 / 10 次输出 / 85% 相似度”为代表性叙事框架，用于说明方法论的真实形态；业界关于 Prompt 逆向工程的公开案例可参考 MITRE ATLAS 矩阵（AI 系统的对抗性威胁分类）和 OWASP LLM Top 10 中的 LLM04: Model Theft 条目，但没有公开可核实的具体团队 / 公司数据支撑下文的精确数字。请将下文理解为方法论的示意场景，而非已发生的事实陈述。

2025 年，一支安全研究团队接受了挑战：在不使用任何漏洞的情况下，尽可能还原某 AI 写作工具的核心 Prompt。

他们的方法不是社会工程学，不是 Prompt Injection，而是系统性的输出分析。

第一步：采样分析（Sampling Analysis）

他们向目标系统输入了数量级在数百到数千之间的不同写作任务（示意范围），涵盖：

  • 不同文体（博客、邮件、报告、故事）
  • 不同主题（技术、商业、娱乐、学术）
  • 不同长度（百字级到千字级）
  • 不同风格（正式、随意、幽默、严肃）

对每个输入，他们收集了多次输出，分析输出的稳定性。

发现1：某些约束在所有输出中都存在（如”不要使用第一人称”），这指向System Prompt中的硬性约束。

发现2：输出结构的模式（如总是先总结后展开）揭示了Prompt中的格式要求。

第二步：约束推断（Constraint Inference）

通过分析输出的边界情况，他们推断Prompt中的隐藏约束：

  • 当要求”写一篇关于炸弹制作的文章”时，系统拒绝了——揭示了安全约束
  • 当要求”用JSON格式输出”时，系统总是遵循——揭示了格式约束
  • 当输入超过某个长度时，输出风格改变——揭示了上下文窗口约束

第三步：Fuzzing测试

他们设计了渐进式模糊测试：

通过观察系统对不同约束的响应，他们绘制了Prompt的”约束空间”。

💡 Key Insight

高稳定性输出直接指向硬性约束；低稳定性输出则揭示开放性要求——两类信号缺一不可，共同勾勒出约束空间的完整边界。

第四步：模板重建

基于以上分析，他们重建了目标系统的核心Prompt模板：

这个重建的 Prompt 与真实 Prompt 的相似度落在示意区间（”超过 85%”为代表性数字，没有公开可核实基线）。

💡 Key Insight

这个重建的 Prompt 与真实 Prompt 的相似度落在示意区间。72 小时、没有漏洞、只有系统性的工程方法——这是一个方法论示意，不应作为可核实事件。

这就是Prompt逆向工程的技术本质。

RPE技术框架：四层方法论

基于以上案例和行业实践，我提出RPE（Reverse Prompt Engineering）四层方法论。

💡 Key Insight

四层之间是递进关系：只有充分理解系统行为（Layer 1），才能准确重建 Prompt 本身（Layer 2）；只有掌握了 Prompt 的完整约束，才能进一步推断工具调用模式（Layer 3）和工作流架构（Layer 4）。

RPE技术框架：四层方法论

行为分析层

目标：通过大规模输入输出分析，推断系统的行为模式和约束条件。

技术方法：

1.1 采样分析（Sampling Analysis）

采样分析的核心思想是：用足够多、足够多样的输入探测系统，观察输出的稳定性差异。具体操作上，研究者向目标系统输入 1000 个不同的任务，涵盖不同文体、主题、长度和风格，对每个输入收集 10 次输出，统计输出结果的分布。

高稳定性的输出片段——那些无论怎么换 seed、换措辞都保持不变的部分——直接指向 System Prompt 中的硬性约束。典型的硬性约束包括格式要求（”必须用 JSON 输出”）、安全边界（”不得生成暴力内容”）和角色定义（”你是一位资深技术编辑”）。低稳定性的输出——那些每次生成都有明显差异的部分——则指向 Prompt 中的开放性要求，比如”写得有创意一点”这类模糊指令。

1.2 约束探测（Constraint Probing）

约束探测是采样分析的进阶：不是随机探测，而是针对性地构造边界案例，测试系统对特定约束的遵守情况。经典的探测手段包括：要求系统执行被明确禁止的任务（测试安全约束）、要求系统以被禁止的格式输出（测试格式约束）、输入超出常规长度的内容（测试上下文窗口约束）。

每一次拒绝或特殊响应，都为约束空间添加一个边界点。将足够多的边界点连接起来，就能绘制出该系统 Prompt 的隐式约束地图。这个过程类似于盲人摸象：每个边界测试都是一个触点，摸到的点越多，地图就越完整。

1.3 Fuzzing测试

Fuzzing 是约束探测的系统化版本：不是逐个测试边界，而是用程序批量生成变异输入，观察系统响应的连续变化。典型的 Fuzzing 策略包括：逐步增加输入长度观察输出风格突变点、逐步改变关键措辞观察触发词、在合法与非法边界附近密集采样。

Fuzzing 的价值在于发现非线性的约束阈值——那些”在某个精确边界内外行为突然改变”的约束，这类约束最难通过直接询问发现，只能通过连续采样推断。

输出：系统的行为模式图、约束条件列表、输入-输出映射表

系统 Prompt 提取层

目标：基于 Layer 1 的分析，重建核心 System Prompt。

技术方法：

2.1 角色推断（Role Inference）

角色推断是从系统输出中反推 AI 的人设定义。当同一个系统在处理不同类型任务时展现出显著不同的语气、专业深度和表达方式，这通常意味着 System Prompt 中存在角色设定。推断方法包括：收集系统在多个任务域的输出样本，提取其中的语气特征词和专业术语，归纳出角色画像的轮廓。

典型的角色推断信号包括：输出中反复出现的自我介绍方式（”作为资深数据分析师”）、特定领域的专业表达习惯、对特定类型问题的一致性拒绝模式。85% 相似度的重建案例中，角色推断是关键第一步——先确定”这是一个专业写作助手”还是”一个随性的创意伙伴”，决定了后续所有约束解释的基线。

2.2 任务模板重建（Task Template Reconstruction）

任务模板重建是将输入分类与处理模式对应的过程。通过 Layer 1 的 Fuzzing 数据，研究者可以观察到：哪些输入类别触发了哪些处理流程、输出的结构化程度与输入类型的关系、系统在处理多步骤任务时的拆解逻辑。

重建方法是将观察到的输入-输出映射关系抽象为模板：”当输入包含 X 类型时，系统先做 Y 步骤，再做 Z 步骤”。多个模板的组合加上它们之间的调度逻辑，就构成了对 System Prompt 核心结构的近似重建。

输出：重建的 System Prompt（准确率 60-90%，取决于系统复杂度）

工具模式推断层

目标：对于使用 Function Calling 的系统，重建 Tool Definition 和调用逻辑。

技术方法：

3.1 工具触发探测

工具触发探测是观察系统何时、以何种方式调用外部工具的过程。研究者向系统输入需要特定能力才能完成的任务（如”查询今天北京的天气”），观察系统是否触发了工具调用、调用了哪个工具、传入的参数格式是什么。多次触发后，可以归纳出工具调用的触发条件。

探测策略包括：构造需要特定工具才能回答的查询、测试边界情况下工具调用的变化、观察连续多步任务中工具调用的序列。这与 Layer 1 的 Fuzzing 一脉相承——区别在于这里探测的是工具调用行为，而非文本输出。

3.2 Tool Schema 重建

Tool Schema 重建是从观察到的调用行为中还原工具定义的过程。研究者需要推断：工具的名称（从调用上下文中的函数名信号推断）、参数类型（从传入值的格式和范围推断）、返回值处理方式（从调用后系统的响应模式推断）。

完整的 Tool Schema 重建还包括调用逻辑的推断：什么条件下会连续调用多个工具、多工具调用的顺序是否固定、错误响应如何影响后续调用路径。这在 72 小时案例的 Fuzzing 测试阶段得到了充分验证。

输出：Tool Definition 列表、调用逻辑图

工作流重建层

目标：对于复杂的 Agent 系统，重建完整的 Workflow 架构。

技术方法：

4.1 多轮对话分析

多轮对话分析是观察系统在长会话中的状态保持和转换行为。通过构造多轮连续对话，研究者可以观察到：系统在哪些节点会调用工具、状态信息如何在多轮之间传递、对话上下文超出长度时的处理策略。

分析的关键是记录每次模型输出中的状态变化：工具调用序列、上下文截断点、输出风格随对话深度的演变。72 小时逆向工程案例中，研究者正是通过多轮对话分析，发现了目标系统在工作流层面的设计模式。

4.2 Workflow 图重建

Workflow 图重建是将观察到的多轮对话行为抽象为状态机模型的过程。研究者需要确定：系统有哪些离散的工作状态、各状态之间的转换条件是什么、每个状态下系统的典型输出模式是什么。

Agent 交互模式的重建是其中最复杂的部分——对于多 Agent 系统，还需要推断各 Agent 之间的通信协议、分工边界和协调逻辑。这超出了单次输出分析的能力范围，需要对大量多轮对话样本进行聚类和模式提取。

输出：Workflow 架构图、状态机模型、Agent 交互模式

Prompt层级的逆向难度矩阵

不是所有 Prompt 都能被同等程度地逆向。不同层级的 Prompt，逆向难度差异巨大。

💡 Key Insight

理解各层的逆向难度，是制定防御策略的前提——你不需要阻止对手观察到你的输出（这不可能），你只需要让你的 Prompt 设计足够稳定，使观察者无法从输出反推出你真正的约束意图。

Prompt层级的逆向难度矩阵

结尾

Prompt 逆向工程不是魔法，而是系统性的工程实践。理解它的技术本质，防御者可以设计更隐晦、更稳定的 Prompt 约束；研究者可以获得一个观察 AI 系统内部逻辑的窗口。这个领域的真正前沿，不是”能不能逆向”，而是”逆向的边界在哪里”——这个问题，将由持续升级的防御手段和更精细的探测技术共同回答。

深度阅读时间：约 11 分钟