Gib einen Überblick über die OWASP Top 10 für LLM-Anwendungen.
Kurzantwort
Die OWASP Top 10 für LLM-Anwendungen sind die Konsensliste der kritischsten Risiken beim Entwickeln mit großen Sprachmodellen. Die Ausgabe 2025 umfasst Prompt Injection, Offenlegung sensibler Informationen, Supply Chain, Daten- und Modellvergiftung, unsichere Ausgabeverarbeitung, übermäßige Handlungsvollmacht, Leakage von System-Prompts, Schwachstellen in Vektoren und Embeddings, Fehlinformation sowie unbegrenzten Ressourcenverbrauch. Sie existiert, weil klassische AppSec-Listen die LLM-spezifischen Fehlerbilder nicht erfassen, und gibt Teams ein gemeinsames Vokabular sowie eine Checkliste, um Maßnahmen zu priorisieren.
Die OWASP Top 10 für LLM-Anwendungen sind die Referenzliste des Felds für die folgenschwersten und häufigsten Sicherheitsrisiken beim Ausliefern von Software, die auf großen Sprachmodellen aufbaut. Sie existiert, weil die klassische OWASP Top 10 für Web-Apps die für LLMs einzigartigen Fehlerbilder nicht beschreibt — etwa ein Modell, das in seiner Eingabe versteckten Anweisungen gehorcht, oder ein überbevollmächtigter Agent, der zerstörerische Aktionen ausführt.
Die Risikokategorien
Die Ausgabe 2025 umfasst:
- Prompt Injection — adversariale Eingaben, die die beabsichtigten Anweisungen direkt oder indirekt überschreiben.
- Offenlegung sensibler Informationen — Abfluss von PII, Geheimnissen oder proprietären Daten über die Modellausgabe.
- Supply Chain — Risiken in Drittanbieter-Modellen, -Datensätzen, -Plugins und -Gewichten.
- Daten- und Modellvergiftung — Manipulation von Trainings- oder Fine-Tuning-Daten, um Backdoors oder Verzerrungen einzuschleusen.
- Unsichere Ausgabeverarbeitung — der Modellausgabe nachgelagert zu vertrauen, was zu XSS, SSRF oder Command Injection führt.
- Übermäßige Handlungsvollmacht — Agenten mit zu vielen Berechtigungen, zu viel Autonomie oder Tool-Zugriff.
- Leakage von System-Prompts — Offenlegung von System-Prompts, die Geheimnisse oder Logik enthalten.
- Schwachstellen in Vektoren und Embeddings — Angriffe auf RAG-Embeddings und Vektordatenbanken.
- Fehlinformation — übermäßiges Vertrauen auf selbstbewusste, aber falsche Ausgaben (Halluzination).
- Unbegrenzter Ressourcenverbrauch — Denial-of-Wallet und Ressourcenerschöpfung.
Warum es wichtig ist
Sie gibt Teams ein gemeinsames Vokabular, eine Priorisierungs-Checkliste und eine Brücke zwischen AppSec- und ML-Praktikern. Sie passt natürlich zu Governance-Frameworks wie dem NIST AI RMF für die Programmebene.
Worauf Interviewer achten
Du musst nicht alle zehn wörtlich aufsagen, solltest aber die wichtigsten Risiken benennen, erklären, warum LLMs eine eigene Liste brauchen, und ein paar Punkte mit konkreten Gegenmaßnahmen verknüpfen.
Wahrscheinliche Anschlussfragen
- Welches OWASP-LLM-Risiko hältst du für am schwersten zu mitigieren, und warum?
- Wie zeigt sich 'übermäßige Handlungsvollmacht' in agentischen Systemen?
- Wie würdest du diese Risiken auf ein Bedrohungsmodell für einen RAG-Chatbot abbilden?