Prompt 发布工程：像管理代码一样管理提示词

提示词改一行就可能改变拒答、工具选择和输出格式。把提示词放在数据库里临时修改虽然方便，却无法知道谁改了什么，也无法在事故时快速恢复。

提示词是可发布工件

每个 prompt 记录名称、版本、变量 Schema、适用模型、输出契约、作者、变更原因和回滚版本。变量只允许显式声明，缺变量在进入模型前报错，避免把 undefined 变成一段隐蔽的自然语言。

评测和灰度

合并前跑黄金集、对抗集和成本集，比较任务完成率、拒答准确率、格式通过率、工具调用正确率和 token 消耗。上线先按租户或流量比例灰度，保留按 request_id 重放的样本。

变更要可追溯

每次请求记录 prompt_version、model、retriever_version 和 tool_schema_version。出现回归时只切换配置指针，避免重新部署服务。回滚也要记录原因，防止团队在不同环境使用不同版本。

预防提示注入

系统规则、用户内容、检索文档和工具返回值使用不同消息层和边界标记。外部文本不能覆盖系统规则或调用高风险工具，安全评测要覆盖间接注入和多轮诱导。

参考资料：NIST AI 风险管理框架。