大模型应用十大风险

Top 10 Risks for LLM Applications

PE-A-03内容已写满G06安全与鲁棒性第 13 层

安全风险清单OWASP

一句话结论

清单是按版本映射到工程阶段的覆盖检查表：先钉住版本号，再逐条把覆盖面转成整改项，其中权限类风险要落到指令层级与工具授权这类架构位，而不是只写一条禁止语。官网索引页与官方仓库正文存在同步落差，所以引用时须写明版本来源。

本页结构（可跳转）

阶段映射图：十大风险按工程阶段分派为四组检查项（设计 / 接入 / 上线 / 运行），以及「覆盖检查表而非合规认证、引用必须标版本」。（本站自制）

01为什么需要它

命名风险清单的价值在于按版本给出一份可逐条勾选的覆盖面，避免团队只防住自己恰好想到的那一两类风险。

现行 2026 版的调整不是文案微调：权限类风险升到 LLM03，隐藏上下文暴露取代了上一版的系统提示泄露，旧的序号与条目名会直接错位。
把版本绑定写进引用习惯，才能让评审记录与缓解措施一一对得上。

适用边界

清单是覆盖检查表，既不是风险排序，也不是合规认证或标准证书。当被引用的那一版与实现所依据的版本不一致时，序号、条目名与缓解措施都会对不上，此时必须先统一版本再讨论。清单也不排斥自研风险项：团队可以按自身业务补充条目，但须与官方十条分开标注，避免把内部项当成官方口径对外引用。

02机制说明

现行 2026 版十条依次为：提示注入、敏感信息泄露、过度自主权、供应链、数据与模型投毒、无界消耗、错误信息、隐藏上下文暴露、向量与嵌入弱点、输出处理不当。

相对上一版有三处实质变化：权限类风险位次前移、隐藏上下文暴露替代了系统提示泄露、注入形态扩到多模态内容与工具返回。
使用方式建议按工程阶段映射：设计阶段先过能力边界与权限分配，接入阶段过供应链与向量与嵌入弱点，上线阶段过无界消耗与输出处理，运行期持续盯注入与信息泄露。
两点提醒：首次引用务必注明版本号，因为官网索引页与官方仓库正文的同步状态存在落差；清单给的是覆盖面而非风险排序，条目齐不等于实施到位。

03何时该用 / 何时不该用

按场景对照：先看条件，再看该怎么做。
类别	场景 / 条件（总结）	具体做法（细节）
该用	系统设计评审时	用清单逐条检查覆盖面，尤其是权限与供应链两类。
该用	接入第三方模型或检索链路前	核对供应链与向量与嵌入弱点两条。
该用	上线前检查时	重点核对无界消耗与输出处理不当。
不该用	把清单当合规认证	它是覆盖检查表，不是标准或证书。
不该用	不标版本地引用	不同版本条目与位次不同，混用会误导读者。

04实验台

shellbash

查看代码

printf '%s\n' "这张提示词上覆盖了下面十条里的哪几条？" > prompt.txt
for k in "Prompt Injection" "Sensitive Information Disclosure" "Excessive Agency" \
         "Supply Chain" "Data and Model Poisoning" "Unbounded Consumption" \
         "Misinformation" "Hidden Context Exposure" \
         "Vector and Embedding Weaknesses" "Improper Output Handling"; do
  printf '%-34s %s\n' "$k" "$(grep -c "$k" prompt.txt)"
done

预期观察：十行输出，每行右侧为命中次数；未覆盖的条目计数为 0，据此把清单缺口逐条落到整改项上。

filepython

查看代码

version = "2026"
refs = [
    "LLM01:2026 Prompt Injection",
    "LLM03 Excessive Agency",
    "LLM08 Hidden Context Exposure",
]
for r in refs:
    assert version in r or r.split()[0].endswith(version), r
print("all references pinned to", version)

预期观察：逐条断言引用串里带上了版本号，全部通过时打印 all references pinned to 2026；把任一条换成上一版条目名即立刻断言失败。

05证据

主张OWASP 官方资源页确认 2026 版是现行最新的 LLM 应用风险清单，可作为版本引用的锚点。

分级official

来源S-0030 https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/

原文

展开原文关键句

OWASP Top 10 for LLM Applications 2026 is the latest community-driven guide to the most critical security risks facing applications powered by large language models.

主张官方仓库正文给出 2026 版清单的位次与官方英文条目名，可据此核对引用是否过期。

分级official

来源S-0031 https://raw.githubusercontent.com/GenAI-Security-Project/GenAI-LLM-Top10/main/2026/README.md

原文

展开原文关键句

LLM01:2026 Prompt Injection | ... | LLM03 Excessive Agency | LLM04 Supply Chain | ... | LLM08 Hidden Context Exposure | ... | LLM10 Improper Output Handling

主张官方正文给出提示注入的判定与防御取向：不存在可靠的拦截式预防，防御须是架构性的。

分级official

来源S-0032 https://raw.githubusercontent.com/GenAI-Security-Project/GenAI-LLM-Top10/main/2026/final/LLM01_PromptInjection.md

原文

展开原文关键句

Prompt injection is intrinsic to current generative AI... so no reliable prevention mechanism exists today... Defense is therefore architectural rather than interceptive.

06术语

术语提示词注入　Prompt Injection

界定输入内容改变了应用开发者未预期的模型行为；模型在架构上不区分「指令」与「数据」，因此不存在可靠的拦截式预防，防御须是架构性的。

07失效模式

把清单当合规认证把它写进验收材料当合格证明，结果是条目齐了但权限与供应链两类没做任何治理。
不标版本地引用沿用上一版的序号与条目名，评审记录与缓解措施一一错位，读者无法判断讨论的是哪一版。
只勾条目不动权限权限类风险停留在纸面，一旦被注入触发就直接放大成工具滥用与越权操作。
把注入当纯输入过滤问题只加输入侧过滤，忽略工具返回与检索内容这些入口，任务照样被外部内容改写。

08在本站知识结构中的位置

所属分组: G06安全与鲁棒性
依赖深度: 第 13 层（同层节点彼此无先后约束）

前置PE-A-02→PE-A-03 本节点→后继PE-A-04

在交互全景图中定位本节点。