OWASP Top 10 pour les applications LLM : nouveautés, changements et conseils de sécurité

Adopter une approche proactive pour sécuriser vos logiciels exige de rester à la pointe des dernières normes et exigences de conformité. Après tout, le paysage de la cybersécurité est en constante évolution, avec l'apparition de nouvelles menaces et vulnérabilités, surtout à mesure que de nouvelles technologies émergent. Cela n'a jamais été aussi vrai qu'aujourd'hui, alors que nous nous trouvons collectivement à un tournant de l'IA où de nouvelles évolutions et cas d'usage semblent apparaître chaque jour.

Pour relever ces défis, la fondation OWASP a récemment publié une version mise à jour de l'OWASP Top 10 pour les applications de grands modèles de langage (LLM), qui vise à informer les développeurs, architectes et autres contributeurs à la livraison de logiciels des risques potentiels lors du déploiement de LLM et d'applications d'IA générative. Chez Secure Code Warrior, nous sommes ravis d'annoncer que les changements et mises à jour de cette dernière version sont déjà intégrés et disponibles sur notre plateforme d'apprentissage du code sécurisé. Grâce à ces nouveaux supports mis à jour, tous nos utilisateurs peuvent rester à la pointe de l'atténuation des risques lors de l'utilisation de LLM.

Quelles sont les nouveautés de cette mise à jour ?

L'OWASP a supprimé deux éléments de son précédent Top 10 :

• Conception non sécurisée de plugins - qui concerne la manière dont les LLM interagissent avec les plugins et dont ces derniers interagissent avec le stockage ou les services externes.
• Vol de modèle - faisant référence à la réplication ou à l'acquisition non autorisée de modèles d'apprentissage automatique ou de systèmes d'IA.

Conformément aux versions précédentes de l'OWASP Top 10, Secure Code Warrior proposait des directives associées à ces vulnérabilités dans le cadre de notre cours LLM Top 10. Ces directives, qui fournissent des informations digestes sur les vulnérabilités et les concepts de sécurité dans un format lisible et facile à comprendre, ont depuis été retirées du programme du cours. Cependant, elles restent disponibles dans Explore, aux côtés de toutes les autres ressources d'apprentissage que nous proposons.

Pour maintenir son Top 10 à un nombre officiel de 10, l'OWASP a ajouté deux nouveaux éléments :

• Fuite de prompt système - où des prompts généralement cachés qui guident le comportement d'un modèle sont exposés aux utilisateurs.
• Vecteurs et intégrations (Embeddings) - qui peuvent exposer des informations spécifiques, propriétaires ou en temps réel qui ne sont pas accessibles au public.

Des directives pour ces vulnérabilités ont été ajoutées au cours LLM Top 10 et, tout comme celles qui ont été supprimées, ces deux éléments sont également accessibles dans Explore pour les utilisateurs souhaitant profiter d'un apprentissage à leur propre rythme.

Enfin, l'OWASP a également apporté des modifications aux catégories de vulnérabilités existantes dans sa liste, en renommant certaines catégories pour les rendre plus larges ou plus spécifiques, et en modifiant leurs définitions. Nos directives traitant de ces sujets ont été mises à jour pour refléter à la fois les changements mineurs apportés par l'OWASP et les nouvelles conventions de nommage. De plus, leur ordre de priorité a été mis à jour pour correspondre à celui défini dans l'OWASP LLM Top 10.

Chez Secure Code Warrior, nous nous engageons à aider nos utilisateurs à garder une longueur d'avance. Avec les dernières mises à jour de l'OWASP déjà intégrées à notre plateforme d'apprentissage agile, nous permettons à nos utilisateurs d'accéder facilement à des supports de formation actualisés couvrant les vulnérabilités les plus récentes pour atténuer les risques lors du déploiement de technologies LLM et d'IA générative. Que vous soyez confronté aux menaces nouvellement introduites de fuite de prompt système ou de vecteurs et intégrations, ou que vous mettiez à jour vos connaissances sur la désinformation et la consommation illimitée, notre plateforme vous fournit les ressources nécessaires pour maîtriser ces concepts critiques et améliorer votre posture de sécurité.