LLM 应用的攻击面已经超出提示词注入

OWASP LLM Top 10 2025 反映了大模型应用从聊天界面走向 RAG、工具调用和自治 Agent 后的新风险。系统安全不能只靠“不要执行恶意指令”这类提示词约束。

四类高频问题

系统提示泄露

系统提示不应被视为秘密保险箱。不要在提示词中存放 API 密钥、数据库密码、内部访问令牌或不能公开的业务规则。

向量与嵌入风险

RAG 的知识库可能被污染，用户也可能越权检索到其他租户资料。写入前需要来源校验，检索时必须在数据库层执行权限过滤。

无限制消耗

超长输入、递归工具调用和批量生成可能造成拒绝服务或意外账单。需要限制 Token、执行步数、并发量、工具次数和单任务预算。

过度代理权

模型拥有的功能、权限和自主程度越高，错误动作的影响越大。把一个万能工具拆成多个最小权限工具，并对写操作增加审批。

工程化防护

1. 所有模型输出在进入数据库、Shell、HTML 或 API 参数前重新验证。
2. RAG 文档保存来源、租户、权限和更新时间元数据。
3. 对模型请求设置速率、费用和最大执行时长。
4. 日志记录工具名称、参数摘要、结果状态和操作者，但过滤敏感值。
5. 安全测试覆盖直接注入、间接注入、越权检索和资源耗尽。

结论

LLM 安全需要应用安全、数据安全和权限治理共同参与。模型只能提供推理能力，真正的安全边界必须由确定性的程序代码执行。

原始资料：OWASP Top 10 for LLM Applications 2025