OWASP LLM Top 10逐项攻防

目录

• 一、概述与方法论

• 二、LLM01：提示注入

• 三、LLM02：敏感信息泄露

• 四、LLM03：供应链漏洞

• 五、LLM04：数据与模型投毒

• 六、LLM05：不当输出处理

• 七、LLM06：过度代理权限

• 八、LLM07：系统提示泄露

• 九、LLM08：向量数据库与嵌入漏洞

• 十、LLM09：错误信息与幻觉

• 十一、LLM10：无限制消耗

• 十二、风险间关联与组合攻击理论

• 十三、传统安全规则迁移的理论基础

• 十四、自动化安全扫描的理论框架

• 十五、防御纵深体系与安全保证

• 十六、前沿研究方向

• 十七、工程师实践指南

• 十八、参考文献

一、概述与方法论

1.1 OWASP LLM Top 10（2025 版）总览

OWASP（Open Web Application Security Project）于 2023 年首次发布 LLM Top 10 风险列表，2025 版基于全球安全社区反馈、真实事件分析和学术研究成果进行了修订。该列表系统化地识别了大型语言模型应用中最关键的安全风险，为组织提供风险评估和缓解的优先级框架。

1.2 风险评估方法论

OWASP LLM Top 10 的风险评估采用 可能性 × 影响 的二维模型，但与传统 Web 安全不同，LLM 风险的评估需要考虑以下独特维度：

维度一：概率不确定性。传统安全漏洞的利用概率通常可以较为精确地估计（如 SQL 注入取决于输入净化覆盖率），但 LLM 攻击的成功概率高度依赖于模型的概率分布 ，而这个分布是黑箱且非确定性的。同一攻击载荷在不同推理调用中可能产生不同结果，需要用期望成功率 来度量。

维度二：影响传播性。LLM 通常集成了工具调用、代码执行、数据库访问等能力，单一风险可能通过 Agent 链产生级联影响。形式化地，若 LLM 系统由  个组件  组成，组件间存在依赖关系 ，则风险  在组件  上的总影响为：

其中  是依赖权重。这构成一个线性方程组 ，解为 ，要求 （依赖矩阵的谱半径小于 1）以保证影响有限。

维度三：上下文依赖性。LLM 风险的严重程度高度依赖于部署上下文。同一提示注入漏洞在纯聊天场景中影响有限，但在具有文件系统访问权限的 Agent 中可能导致任意代码执行。因此，OWASP 建议采用上下文感知风险评估（Context-Aware Risk Assessment），将基础风险分数乘以上下文放大因子 。

1.3 攻防分析框架

本文对每项风险采用统一的六维分析框架：

1. 形式化定义：用数学语言精确描述漏洞的输入空间、攻击目标和成功条件

2. 理论分析：攻击成功的理论条件、信息论/计算复杂性约束、防御的理论保证

3. 攻击方法：具体攻击技术、自动化搜索策略、实际事件案例

4. 防御机制：防御原理、工程实现要点、防御的理论保证与局限

5. 传统安全映射：从 OWASP Web Top 10 / API Top 10 的类比与差异

6. 前沿讨论：最新学术研究、开放问题、未来趋势

1.4 LLM 安全与传统安全的范式差异

理解 LLM 安全需要认识其与传统安全的根本差异：

确定性 vs 概率性。传统安全漏洞（如缓冲区溢出、SQL 注入）是确定性的：给定输入，行为可预测。LLM 的行为是概率性的：同一输入可能产生不同输出。这意味着传统安全中"修复一次即永久修复"的范式不再适用。形式化地，传统漏洞的修复是一个谓词，而 LLM 漏洞的修复是一个概率，只能逼近 1 但难以精确等于 1。

离散 vs 连续。传统攻击载荷是离散的字符串或字节序列，攻击空间虽大但可枚举。LLM 攻击载荷存在于连续的语义空间中，攻击空间是不可数无限的，这使得基于模式匹配的防御（如 WAF 规则）从根本上无法覆盖所有变体。

局部 vs 全局。传统漏洞通常局限于特定代码路径或接口，可通过局部修复解决。LLM 漏洞往往涉及模型的全局行为（如提示注入利用的是模型对自然语言的全局理解能力），局部修复（如输入过滤）容易被绕过。

静态 vs 演化。传统软件漏洞在代码更新时引入或修复，漏洞数据库（如 CVE）可以追踪。LLM 系统的行为随模型更新、微调、上下文变化而持续演化的，同一防御措施在不同时间可能有效或失效。

这些差异意味着 LLM 安全需要新的理论框架，而非简单套用传统安全方法。下文在对每项风险的分析中，将明确指出其与传统安全的对应与偏离。

二、LLM01：提示注入

跨档引用：注入分类体系（直接/间接/多模态）、攻击载荷库、防御工程实现详见入门篇《提示注入与Agent安全技术详细文档》；不可判定性证明、注入熵理论详见高级篇01《提示注入的形式化理论与不可能性》。本节聚焦于OWASP风险维度的形式化定义、注入分类学（Chomsky层级）、防御的对抗鲁棒性、以及传统安全迁移映射，这些是上述文档未覆盖的OWASP特有视角。