OWASP LLM十大风险与F5的对应关系
《OWASP 大型语言模型应用十大风险（2025）》强调，AI不仅带来了新的安全和治理风险，也使传统应用保护面临更严峻的挑战。随着组织将AI从试点阶段推向生产环境，安全团队需要采用能够应对不断演变的对抗技术，同时满足隐私和合规要求的控制措施。
以下各节将OWASP LLM的每个风险领域映射到相关的F5功能：F5 AI Guardrails为各种模型提供运行时保护，并在AI交互中实施策略；F5 Web App and API Protection (WAAP)保护支持AI工作流的应用和API攻击面；F5 AI Red Team 在攻击者利用模型和应用漏洞之前，主动评估这些漏洞。
LLM01：提示词注入
当用户输入操纵模型，使其执行有害行为时，就会发生提示词注入，例如泄露敏感信息、提供未经授权的访问权限，或生成带有偏见或有害的内容。F5 AI Guardrails通过检查提示词和模型输出中的恶意活动，并阻止危险或不合规的交互，帮助降低这些风险。它可为数千种已知的提示词注入技术提供开箱即用的防护，并提供相应界面，以便在出现新威胁时快速创建自定义Guardrails。
LLM02：敏感信息泄露
敏感信息泄露是一种双向风险：AI应用可能向用户暴露未经授权的数据，用户也可能提交系统无权处理的敏感信息，例如个人身份信息（PII）或专有数据。F5 AI Guardrails通过过滤PII、支付卡行业（PCI）数据和受保护健康信息（PHI）等敏感数据类型来应对这两类风险，防止出现不合规的交互。团队还可以定义自定义数据模式，用于监控或阻止用户输入、模型输出，或同时监控或阻止两者。此外，AI Guardrails还支持基于角色的访问控制（RBAC）组配置等传统访问管理功能，以便按用户或组定制策略执行。
LLM03：供应链
LLM中的供应链漏洞会威胁训练数据、模型和部署平台的完整性。最显著的风险源于采用预训练的第三方模型和低秩适配器（LoRA），后者用于在无需重新训练的情况下微调基础模型。Hugging Face等平台提供数百万个模型和LoRA，导致攻击面大幅扩大，使攻击者有机会篡改无数模型变体并实施数据投毒。F5 AI Guardrails可在各类AI应用中建立一致的策略执行层，不受模型来源影响。AI Guardrails以代理形式部署，检查用户、智能体和应用之间的交互，并应用通用的运行时安全控制，以缓解训练数据偏差、模型差异和潜在漏洞利用带来的风险，防止有害输出触达用户。此外，F5 AI Red Team通过开展大规模攻击模拟，评估各个模型的特定风险和行为倾向。即使属于同一模型系列，风险状况也可能存在很大差异，因此AI Red Team能够快速提供可付诸行动的漏洞洞察，帮助在攻击者利用这些漏洞之前采取措施。
LLM04：数据和模型投毒
数据和模型投毒是指恶意操纵训练、微调或检索数据，可能导致输出质量下降、引入偏差或植入后门触发器。F5通过F5 Web App and API Protection（WAAP）保护暴露的应用和API攻击面，从而降低投毒风险。F5 WAAP的Bot Defense和DDoS Mitigation等功能可减少恶意内容通过自动化方式注入数据摄取和反馈工作流；API Discovery and Security则有助于识别和治理数据收集与检索API，而这些API是影响模型行为的常见攻击路径之一。此外，F5 AI Guardrails可作为运行时补偿性控制措施，通过自定义Guardrails检测并阻止已知的投毒指标，例如触发短语或模式。
LLM05：输出处理不当
如果LLM生成的输出在传递给下游系统之前未经过充分验证或清理，就会出现输出处理不当的问题。由于攻击者可以通过精心构造的提示词影响模型输出，这可能导致攻击者间接访问敏感功能，并对下游造成影响，例如在浏览器中引发跨站脚本攻击（XSS）或跨站请求伪造（CSRF），或在后端系统中引发服务器端请求伪造（SSRF）、权限提升和远程代码执行。F5 AI Guardrails会在模型输出交付给用户或路由至下游工具之前进行检查，并根据既定策略阻止或记录不安全内容，从而缓解此风险。F5 Web App and API Protection (WAAP)还会对使用LLM输出的应用和API实施成熟的Web和API安全控制措施，包括API发现、架构验证和威胁防护，进一步降低风险敞口，防止恶意载荷演变为可执行攻击。
LLM06：过度自主权
当模型或智能体获得超出必要范围的自主权、权限或工具访问权限时，就会出现过度自主行为，使受操纵的输入能够触发非预期操作，例如发送消息、执行交易或窃取数据。F5 AI Guardrails通过基于策略限制模型可发出的请求或输出的内容，并在不合规交互到达工具或下游系统之前将其阻止，从而降低此类风险。F5 Web App and API Protection (WAAP)则通过对工具和插件API实施身份验证、授权和速率限制，提供额外防护，确保即使智能体尝试执行不安全操作，底层服务仍能得到保护。
LLM07：系统提示词泄露
当攻击者提取嵌入系统提示词中的隐藏指令、凭据或策略逻辑，并利用这些信息绕过控制措施或升级攻击时，就会发生系统提示词泄露。F5 AI Guardrails通过检测并阻止用户输入中常见的提取模式，以及过滤响应以防止模型返回受限的提示词内容，来缓解此风险。F5 AI Red Team可大规模主动测试模型和应用是否存在提示词泄露以及系统提示词易被提取的问题，并提供可操作的测试结果，以便在部署前强化提示词、策略和运行时控制。
LLM08：向量和嵌入弱点
当攻击者操纵、投毒或利用检索内容，以影响响应、导致敏感数据泄露或绕过安全控制时，检索增强生成（RAG）和基于嵌入的系统中就会出现向量和嵌入弱点。F5 Web App and API Protection (WAAP) 可保护用于文档摄取、集合管理和检索查询的API，包括提供API发现、架构强制执行以及机器人和滥用防护，从而帮助缓解这些风险。F5 AI Guardrails 还会对模型输出应用运行时检查和自定义策略，帮助在向用户交付响应前检测可疑模式、不安全内容或敏感数据，从而进一步降低下游影响。
LLM09：错误信息
当LLM生成错误或误导性输出时，就会产生虚假信息风险，可能导致不安全的决策、声誉受损或合规失败。F5 AI Guardrails通过内容审核Guardrails来降低此风险。这些Guardrails可标记或阻止高风险内容类别、要求采用特定的响应结构，或在内容看似不确定或不合规时触发额外控制措施。F5 AI Red Team评估AI系统在对抗性提问和边缘案例下的行为，帮助团队量化虚假信息倾向，并在生产环境部署前调整策略和工作流。
LLM10：无界消耗
当攻击者或配置错误的客户端导致模型使用量过高时，就会出现无界消耗。大量请求、超大提示词或滥用自动化可能造成资源耗尽、可用性下降或成本意外激增。F5 Web App and API Protection (WAAP)通过在应用和API层实施速率限制和DDoS缓解，在滥用流量到达模型基础设施之前将其减少，从而缓解这一风险。结合面向AI的API发现和安全控制，F5 WAAP有助于控制因LLM使用不受控而产生的可用性和成本风险。
AI安全形势不断变化
保护LLM应用，不能仅依赖单次测试或模型提供商的默认设置。有效的AI安全策略需要持续实施运行时策略，并为LLM所依赖的API、工具和数据系统提供强有力的保护。针对《OWASP LLM应用十大安全风险（2025年版）》，F5通过结合以下能力提供支持：
- F5 AI Guardrails：F5 AI Guardrails提供自适应、与模型无关的运行时安全防护，有助于防止数据泄露、对抗性操纵和有害输出
- F5 AI Red Team，通过F5 AI Red Team开展主动测试，尽早发现模型和工作流的特定弱点，并将测试结果转化为主动防御措施
- F5 Web App and API Protection (WAAP)：通过应用和API控制措施，降低暴露、滥用和资源风险
这些层协同作用，使企业能够在扩展AI应用规模的同时，随着由LLM驱动的体验不断演进，持续保持韧性、合规性和用户信任。