OWASP LLM 应用安全 Top 10：新变化、更新内容及如何保持安全

采取主动的方法来保障软件安全，要求您始终站在最新标准和合规要求的前沿。毕竟，网络安全领域瞬息万变，随着新技术的出现，新的威胁和漏洞层出不穷。在人工智能发展的关键转折点，各种演进和应用场景层出不穷，这一点比以往任何时候都更为真实。

为了应对这些挑战，OWASP 基金会最近发布了更新版的《OWASP 大语言模型 (LLM) 应用安全 Top 10》，旨在告知开发人员、架构师和其他软件交付相关人员在部署 LLM 和生成式 AI 应用时可能面临的风险。Secure Code Warrior 很高兴地宣布，最新版本中的变更和更新已在我们的安全代码学习平台中实现并上线。通过这些新提供的更新材料，我们所有的用户都能在利用 LLM 时保持在风险缓解的前沿。

此次更新有哪些新内容？

OWASP 从之前的 Top 10 中移除了两项：

• 不安全的插件设计——涉及 LLM 如何与插件交互，以及插件如何与外部存储或服务交互。
• 模型窃取——指未经授权复制或获取机器学习模型或 AI 系统。

根据之前版本的 OWASP Top 10，Secure Code Warrior 在我们的 LLM Top 10 课程中包含了与这些漏洞相关的指南。这些指南以易于理解和阅读的格式提供了有关漏洞和安全概念的实用信息，现已从课程大纲中移除。不过，这些指南以及我们提供的所有其他学习材料仍然可以在“探索”(Explore) 中找到。

为了保持 Top 10 的官方数量，OWASP 新增了两项：

• 系统提示词泄露——指引导模型行为的隐藏提示词被用户发现。
• 向量与嵌入漏洞——可能会暴露非公开的特定、专有或实时信息。

针对这些漏洞的指南已添加到 LLM Top 10 课程中。与之前移除的指南一样，这些新指南也可在“探索”(Explore) 中供希望进行自主学习的用户使用。

最后，OWASP 还对其列表中的现有漏洞类别进行了一些调整，重命名了一些类别以使其更具包容性或针对性，并修改了它们的定义。我们支持这些主题的指南现已更新，以反映 OWASP 指导方针中的细微变化以及新的命名规范。此外，它们的优先级排序也已更新，以匹配 OWASP LLM Top 10 中设定的顺序。

Secure Code Warrior 致力于帮助用户保持领先地位。随着最新的 OWASP 更新已反映在我们的敏捷学习平台中，我们让用户能够轻松获取最新的培训材料，涵盖当前最主要的漏洞，并在部署 LLM 和生成式 AI 技术时降低风险。无论您是在应对新出现的“系统提示词泄露”或“向量与嵌入”威胁，还是在更新对“错误信息”和“无限制消耗”的理解，我们的平台都能为您提供掌握这些关键概念所需的资源，从而提升您的安全态势。