DiegoFleitas/lemon-juice

"Ah, yes. Written with lemon juice." — William of Baskerville, The Name of the Rose (1986)

一款将网页置于“火焰”之上烤制的 Firefox 扩展。在你将页面交给 ChatGPT、Claude、Gemini 或浏览器 agent 之前，它会揭示隐藏的文本并标记 prompt 注入 payload。它使用非侵入式的覆盖层，绝不重写页面自身的样式。  ## 为什么 间接 prompt 注入在 [LLM 应用 OWASP Top 10](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) 中被评为 **LLM01**（绝对最高风险）。攻击者将指令隐藏在不可见的 Unicode、bidi 重写（bidi overrides）或零宽字符中：人类什么也看不见，AI 却会读取并遵照执行。浏览器是我们大多数人与这种威胁相遇的地方。然而在 Firefox 上，现有的唯一工具只是一个功能狭窄的零宽字符插件。 点击工具栏图标，Lemon Juice 会暴露出不可见的 Unicode、通过 Unicode Tags 块进行的 ASCII 走私、视觉隐藏文本、编码数据块（encoded blobs）、控制 token 以及类似指令的短语。扫描结果会在网页上高亮显示，并在弹窗中按严重程度分组列出。 **为什么优先支持 Firefox？** 因为我日常使用的就是它。Chrome 的自动化协议工具更加成熟，且大多数 agent 框架都优先针对它，因此移植到 Chrome 已在路线图上。 ## 它能检测什么 ### 高置信度 在网页内容中几乎绝对不合法的模式，或已针对常见误报进行了严格过滤的模式。 | 类别 | 示例 | 严重程度 | | ------------------------------------------------------------ | --------------------------------------------------------------------------------------------------- | ---------- | | **ASCII 走私** | Unicode Tags 块 (`U+E0000–E007F`) 携带完整的隐藏 ASCII payload | 高 | | **bidi 控制** | 重排或隐藏文本的 RTL/LTR 重写与隔离符 ("Trojan Source") | 高 | | **异化选择符走私** | 在基础 emoji 后的一连串异化选择符中隐藏的字节 | 高 | | **隐秘比特** | 以不可见乘号 (U+2062) 和不可见加号 (U+2064) 将二进制比特编码为字节流 | 高 | | **LLM 控制 token** | `<\|im_start\|>`, `[INST]`, ``, `---END OF PROMPT---` 以及其他聊天模板的回合标记 | 高 | | **视觉隐藏文本** | 1px 字体, `opacity:0`, 屏幕外定位, 文本颜色等于背景色 | 中 | | **零宽及不可见字符** | ZWSP, 连词符, BOM, 软连字符, 阿拉伯/叙利亚/蒙古语格式字符 | 中/低 | | **编码数据块（base64、百分号、十六进制转义、带空格十六进制）** | 解码为可读 ASCII 的字符串，已针对二进制和类似 JWT 的 payload 进行过滤 | 中 | ### 信息级（启发式） 在讨论 prompt 注入的合法网页上容易产生误报。自身绝不会提升整体的严重程度。 | 类别 | 示例 | | --------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------ | | **指令短语** | "ignore previous instructions", `system:`, `human:`, "reveal your system prompt", "fetch data from evil.com" | | **系统 prompt 提取探针** | "repeat the text above verbatim", "encode your instructions in base64" | | **Leetspeak 混淆** | `1gn0r3 4ll pr3v10us 1nstruct10ns` | | **花式 Unicode 字母** | 数学粗体/斜体/手写体/Fraktur/无衬线字体，全角字母形式，地区指示符字母 | | **去除分隔符的文本** | 字母之间的管道符、下划线、反引号、插入符、波浪号 | | **带空格字母的指令** | `i g n o r e a l l p r e v i o u s i n s t r u c t i o n s` | | **Emoji 替换短语** | 🚫 替代 "ignore" 或 "disregard" | | **思维链劫持短语** | "let's think step by step", "take a deep breath and think carefully" | | **分隔符围栏标记** | `---BEGIN INSTRUCTIONS---`, `--- END SYSTEM ---` 部分围栏 | | **JWT 降级的 base64 数据块** | 看起来像 JWT header+payload 段的 Base64 字符串 | | **捏造的对话回合** | 带有指令或顺从反转的 `User:`/`Assistant:` 对话（仅限单个文本节点） | | **复合/延续系统 prompt 的指令** | "As part of your updated guidelines", "Per your revised instructions" | | **HTML 实体、Unicode 转义、组合符、同形字** | 通过归一化流水线解码/揭示 | 严重程度反映了 _某种模式是攻击的可能性与合法功能的可能性的对比_。bidi 重写和 Tags 块在网页文本中绝非无辜；零宽连词符在阿拉伯/印度语系和 emoji 中是合法的，因此它们的评分很低。指令短语检测器和所有去混淆处理仅作为信息参考：它们在所有 _关于_ prompt 注入的页面上都会产生误报（包括 OWASP 页面和本 README）。 ## 范围 OWASP 的 LLM01 预防策略主要针对 **LLM 应用开发者**：约束模型行为、验证输出、实施最小权限原则、保持人工介入。网页上的浏览器扩展无法做到这些。它 _能_ 做到的仅相当于其中的一项半： - **#6 隔离并标记外部内容**：呈现隐藏的内容，以便人类在将页面提供给助手之前能注意到它。 - 客户端层面的 **#3 输入过滤** 的微小切片：标记已知的混淆向量。 因此，它诚实的范围是：**揭示 AI 会摄入但你看不到的内容。** 检测不是拦截。该工具只有在人工观察时才有用。它在点击时运行，因此它永远不会驻留在 agent 自身的浏览循环中。它标记的内容跨越了两个类别：高严重程度的模式（控制 token、bidi 重写、不可见字符）是越狱或走私的产物；低严重程度的模式（指令短语）则标志着页面上的注入尝试。 对于无人值守的 agent，防御必须驻留在 agent 内部。[Claude for Chrome](https://www.anthropic.com/research/prompt-injection-defenses) 对跨文本和欺骗性 UI 的 prompt 注入进行分类；其[指南](https://support.claude.com/en/articles/12902428-use-claude-in-chrome-safely)通过最少的站点访问权限分层实现权限提示。但这些都不是万无一失的——在 Anthropic 修复之前，ShadowPrompt 曾利用浏览器扩展的消息传递漏洞绕过了这些防御。没有任何供应商声称已解决 prompt 注入问题。 **请将 Lemon Juice 视为您阅读时的辅助工具，而不是您不阅读时的安全网。** ## 安装 **从源码安装（临时插件）：** 1. 克隆此代码库。 2. 在 Firefox 中打开 `about:debugging#/runtime/this-firefox`。 3. **加载临时插件…** 并选择 `manifest.json`。 4. 在任意页面的工具栏中点击 Lemon Juice 图标。 **AMO 列表：** 一旦发布 v0.1 即将上线。 ## 开发 ``` pnpm install pnpm test # unit tests (detectors.js, scan-helpers.js — pure, DOM-free) pnpm test:e2e # Playwright tests against real fixtures (browser) pnpm lint # eslint + prettier ``` 无构建：纯 ES 模块，无需打包器，无转译步骤。源文件直接作为 content scripts 加载。 `detectors.js` 和 `scan-helpers.js` 特意去除了对 `document`/`window` 的访问，因此检测逻辑可以在 Node 中进行测试，而无需 DOM 环境。在 `__tests__/detectors.test.js` 中为新检测器添加用例，在 `__tests__/scan-helpers.test.js` 中为辅助函数修改添加用例，当需要真实页面验证行为时使用 `__tests__/e2e/` + `__tests__/fixtures/`。 用于测试检测的页面： - [PayloadsAllTheThings — Prompt Injection](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Prompt%20Injection#tools) - [Prompt-Injection-Everywhere](https://github.com/TakSec/Prompt-Injection-Everywhere) ## 架构 | 文件 | 作用 | | ------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `detectors.js` | **纯**检测逻辑。输入字符串，输出结果。无 DOM。通过 `globalThis.PIScanner`（注入）和 `module.exports`（测试）暴露。可测试的核心。 | | `scan-helpers.js` | 用于扫描和覆盖层渲染的 DOM 辅助工具。双导出模式。当没有任何真实的背景色时，`resolveBackgroundColor` 会返回 `null`（不猜测系统的画布颜色），从而防止在自带主题的暗色页面上出现文本颜色的误报。 | | `scan.js` | DOM 端：遍历顶级文档、所有开放的 shadow root 以及所有同源 iframe 文档中的文本和注释节点。运行检测器，应用 CSS 隐藏文本启发式规则，将命中标记绘制到非侵入式覆盖层中。 | | `popup.js` / `popup.html` | 将脚本注入到当前活动的标签页中，回读结果，渲染扫描发现项，设置工具栏徽章。 | | `manifest.json` | MV3。`activeTab` + `scripting`，无需主机权限。 | ## 隐私 - **没有任何数据离开您的浏览器。** 无网络调用、遥测或分析。 - **无主机权限。** 只有在您点击图标时，`activeTab` 才会授予页面访问权限。 - 所有解码和扫描均在本地的 content-script 沙箱中完成。 ## 局限性 ### 已知的遗漏 这些原则上是可检测的，只是今天尚未实现（或仅部分实现）。其中几个有可在本地演示的绕过方法——即能躲过每个检测器的具体攻击 payload： - **跨元素的对话**：散布在同级元素之间的捏造对话回合——每个回合都是一个独立的文本节点，因此回合对检测器永远无法看到它们的完整组合。 - **未列出的角色标签**：`Visitor:`, `Guide:`, `Guest:`, `Interviewer:`, `Q:`/`A:` —— 认定集合之外的标签会绕过角色识别。**已部分解决**：结构匹配器现在使用 `\p{L}{1,21}`，因此任何以字母开头的标签（包括这些）都会被检测到。不再维护硬编码的枚举。 - **改写的重写语言**：复合指令正则表达式匹配特定的措辞 (`as part of your updated guidelines`) —— 意思相同但措辞不同的会逃过检测。 - **正则表达式词汇表之外的顺从反转**：`"No problem, here is…"` 避开了 `COMPLIANCE_FLIP_RE` (`sure|certainly|of course|understood|absolutely`) 中的所有词。 - **单回合重写**：一个没有捏造的助手回复的、单独的 `User:` 风格指令 —— 检测器要求至少有 2 个不同的角色标签回合。 - **关闭的 shadow root**：`mode:"closed"` —— 根据规范 `.shadowRoot` 为 null，无法触及。 - **动态/扫描后注入**：扫描器运行后，通过 `setTimeout`、fetch 回调或用户交互注入的内容。 - **`