OWASP LLM Top 10 2025

L'attaquant injecte des instructions dans l'input utilisateur. Le modèle exécute l'instruction injectée au lieu de suivre le system prompt. Deux formes : directe (l'utilisateur contrôle l'input) et indirecte (données externes contiennent injection cachée).

• Contournement garde-fous
• Exfiltration données sensibles
• Exécution actions non autorisées
• Confidentialité système compromise

• Séparation input/instructions stricte
• Sanitisation données externes
• Prompt hierarchies (système → data → user)
• Monitoring prompt patterns dangereux

L'application traite l'output du LLM sans validation : injecte directement en HTML, exécute comme code, passe à un autre LLM en cascade. L'output n'est pas forcément sûr — le modèle peut être manipulé pour générer du code malveillant ou injecté.

• XSS si output → HTML
• Code injection si output → exec
• Chained LLM attacks (cascade)
• Propagation toxicité/bias

• Validation schéma output
• Encoding context-aware (HTML, SQL, etc.)
• Sandboxing LLM cascades
• Content Security Policy

L'attaquant injecte des données malveillantes dans le corpus d'entraînement : fausses étiquettes, instructions cachées, contenu contaminé. Au re-training, le modèle apprend le poison et peut changer de comportement ou halluciner systématiquement.

• Backdoor dans le modèle
• Drift comportement invisible
• Hallucinations systématiques
• Bias ou toxicité amplifiés

• Validation corpus avant training
• Data lineage tracking complet
• Anomaly detection distributions
• Audit logs sources données

L'attaquant surcharge le modèle avec des prompts complexes, boucles de tokens, ou entrées crafted qui consomment des ressources exponentielles. Résultat : timeout, coûts explosent, ou modèle devient inaccessible.

• Service indisponible
• Coûts API/compute énormes
• Dégradation expérience utilisateur
• Cascade failure en agents

• Rate limiting strict par user
• Token/input size limits
• Timeout court par requête
• Cost monitoring alertes

Dépendances externes (modèles, packages Python, APIs tiers) contiennent des vulnérabilités. Exemple : fine-tuning sur Llama 2 compromis, utilisation d'API modération malveillante, packages avec backdoors.

• Injection code malveillant
• Model compromise (poisoned weights)
• Data exfiltration silencieuse
• Perte contrôle applicatif

• Pinning exact versions dépendances
• Checksums/signatures modèles
• Audit dépendances (Snyk, pip-audit)
• Sandbox trusted boundaries

Le modèle divulgue des données sensibles : PII du training set via requêtage itératif, secrets injectés en contexte, data de production visibles dans les réponses. Deux vecteurs : training data et contexte runtime.

• Violation GDPR/RGPD
• Compromission données personnelles
• Extraction secrets (API keys, etc.)
• Exposition propriété intellectuelle

• Data minimization en contexte
• PII masking en output
• Access control données injectées
• Differential privacy au fine-tune

Les plugins/tools fournis au LLM ont des vulnérabilités : pas de validation input, pas d'authentification, pas d'authorization. Le modèle peut abuser du plugin pour accéder à des ressources ou causer des dégâts.

• Accès ressources non autorisées
• Injection via paramètres plugin
• Escalade privilèges
• Data corruption ou destruction

• Validation schéma paramètres strict
• Authentification plugin
• Authorization granulaire par tool
• Error handling sans info leakage

L'agent a trop de libertés : il décide unilatéralement d'exécuter des actions irréversibles (supprimer compte, transférer argent) sans supervision. Aucune limite sur les itérations, pas de human-in-the-loop pour les décisions critiques.

• Actions irréversibles non voulues
• Boucles infinies (coûts)
• Chaînes d'actions non contrôlées
• Violation règles métier

• Max iterations limit (5-10)
• Human approval actions critiques
• Constraints orchestration strictes
• Audit logging exhaustif

Confiance aveugle dans les réponses du LLM. L'utilisateur/application accepte la sortie modèle sans validation, sans check factualité, sans supervision. Le LLM peut halluciner, inventer, ou être manipulé.

• Décisions basées sur hallucinations
• Misinformation propagée
• Compliance/audit violations
• Responsabilité légale flou

• Validation factcheck outputs
• Source citations obligatoires
• Confidence scores explicites
• Human review inputs critiques

L'attaquant extrait ou vole les weights du modèle, le fine-tuning, ou la logique applicative via black-box queries. Le modèle propriétaire est alors reproduit ailleurs sans autorisation.

• Perte avantage compétitif
• Reproduction modèle non autorisée
• Coûts développement non amortis
• IP compromise

• Rate limiting strict extraction
• Model obfuscation/distillation
• Monitoring behavior patterns
• Watermarking modèles