OWASP Top 10 for LLM Applications：最新情報、変更点、安全性を維持する方法

ソフトウェアを保護するために積極的なアプローチを取るには、最新の標準とコンプライアンス要件の最前線を維持する必要があります。結局のところ、サイバーセキュリティの状況は、特に新しい技術が登場するにつれて、新しい脅威や脆弱性で常に動いています。特に新しい技術が登場するにつれて、新たな脅威や脆弱性が生じてきます。このことが今日ほど真実である時代はありません。 

これらの課題に対処するため、OWASP財団は最近、大規模言語モデル（LLM）アプリケーションのためのOWASPトップ10の更新版を発表した。そして私たちSecure Code Warrior は、この最新版の変更と更新がすでに実装され、私たちの安全なコードlearning platform で利用可能であることを発表できることを嬉しく思います。これらの新しく利用可能になり、更新された資料により、私たちのすべてのユーザーは、LLMを利用する際のリスク軽減の最前線にとどまることができます。

今回のアップデートの新機能は？

OWASPは、前回のトップ10から2つの項目を削除した：

• 安全でないプラグインの設計- LLMがプラグインとどのように相互作用するか、プラグインが外部のストレージやサービスとどのように相互作用するかに関連する。 
• モデル窃盗- 機械学習モデルやAIシステムの不正な複製や取得を指す。

OWASP Top 10 の以前のバージョンに従い、Secure Code Warrior 、LLM Top 10 コースの一部として、これらの脆弱性に関連するガイドラインが用意されていました。これらのガイドラインは、わかりやすく読みやすい形式で、脆弱性とセキュリティの概念に関する消化可能な情報を提供するものですが、その後、コースのカリキュラムから削除されました。しかし、このガイドラインは、私たちが提供する他のすべての学習教材とともに、Exploreでは引き続きご利用いただけます。 

OWASPは、トップ10を正式な10にとどめ、新たに2つの項目を追加した：

• システムプロンプトの漏えい - モデルの行動を導く、通常は隠されているプロンプトがユーザーに公開される。
• ベクターとエンベッディング - 一般には公開されていない特定の、独自の、またはリアルタイムの情報を公開することができます。

これらの脆弱性に関するガイドラインはLLMトップ10コースに追加され、削除されたガイドラインと同様に、この2つも自分のペースで学習したいユーザーのためにエクスプローラーでアクセスできるようになっている。

最後に、OWASP は、既存の脆弱性カテゴリのリストにも若干の変更を加え、いくつかのカテゴリの名称をより拡大 的または具体的に変更し、その定義を修正しました。これらのトピックをサポートする私たちのガイドラインは、OWASP のガイダンスからの小さな変更と新しい命名規則の両方を反映するように更新されました。さらに、優先順位のリストは、OWASP LLM Top 10 で設定された順序と一致するように更新されました。

Secure Code Warrior では、ユーザーの皆様が常に時代の最先端を走り続けられるよう、全力でサポートしています。OWASPの最新アップデートはすでに当社のアジャイルlearning platform に反映されており、当社のユーザーが最新の脆弱性をカバーする最新のトレーニング教材に簡単にアクセスできるようにし、LLMとGenerative AIテクノロジーを展開する際のリスクを軽減しています。新たに導入された脅威であるシステムプロンプト漏えいやベクターとエンベッディングをナビゲートする場合でも、誤情報とアンバインド消費に関する理解を更新する場合でも、私たちのプラットフォームは、セキュリティ態勢を向上させるこれらの重要な概念を習得するために必要なリソースを提供します。