大语言模型的五类安全风险

这两年大模型应用爆发式增长，随之而来的安全事件也越来越多。有意思的是，大多数事故并不是模型本身被”攻破”，而是应用层的设计埋了坑。OWASP 为此专门发布了 LLM 应用 Top 10 风险清单，本文挑出最核心的五类来讲。

1. 提示词注入#

我在上一篇文章里单独讲过：外部数据里夹带指令，被模型当成规则执行。它是其他很多风险的”入口”——后面要讲的工具滥用、信息泄露，往往都是注入打开的缺口。

2. 敏感信息泄露#

三个常见的泄露源：

模型自己说漏嘴：系统提示词里写了内部规则、数据库连接串，被用户套话套出来；
上下文串台：多用户共享会话缓存，A 用户的数据出现在 B 用户的回答里；
训练数据带毒：模型记住了训练语料中的隐私信息，能被特定提问诱导复述。

3. 供应链投毒#

很多人以为模型文件是”数据”，加载不会有事。错——常见的模型序列化格式（Python pickle）加载即执行任意代码。一个来路不明的 .bin、.pkl 模型文件，或一个拼写仿冒的 PyPI 包（比如 requsts），都可能直接给你种上后门。规则很简单：模型和依赖只从官方渠道拉，加载前想清楚来源。

4. 过度授权的工具与插件#

给 Agent 挂上读文件、发 HTTP、执行 shell 的能力很爽，但这等于把服务器的钥匙交给了”可能被注入的模型”。一旦提示词注入成功，过度授权直接把注入放大成远程代码执行（RCE）。

5. 幻觉与内容安全#

模型会一本正经地编造事实。在安全场景下这格外致命：让它生成防火墙规则、密码策略建议，一个幻觉参数可能直接留出漏洞。此外还有被诱导生成钓鱼文案、恶意代码的滥用风险。

风险与防御速查表#

风险	一句话场景	关键防御
提示词注入	外部数据夹带指令	指令/数据隔离 + 注入检测
信息泄露	系统提示、上下文外泄	敏感内容不进提示词 + 输出过滤
供应链投毒	恶意模型文件/依赖包	官方渠道 + 校验 + 沙箱加载
工具滥用	Agent 被注入后乱用权限	最小权限 + 人工确认
幻觉	编造的安全建议被直接采用	关键输出人工复核

三条总原则#

把 LLM 的输出当作用户输入对待——不可信、需要校验，永远不要直接执行；
最小权限 + 沙箱：AI 组件运行在隔离环境里，权限只给完成当前任务所必需的；
记录和审计每一次调用：出事后的溯源速度，取决于日志的完整程度。

小结#

LLM 应用的安全问题，大部分是老问题的重新包装：注入是数据/代码混淆，供应链是依赖可信问题，越权是权限设计问题。把 Web 安全的基本功平移过来，再补上对模型行为特性的理解，就能避开绝大多数坑。