Top 10 de l'OWASP pour les applications LLM : nouveautés, modifications et mesures de sécurité

Pour adopter une approche proactive de la sécurisation de vos logiciels, vous devez rester à la pointe des dernières normes et exigences de conformité. Après tout, le paysage de la cybersécurité est constamment en mouvement avec de nouvelles menaces et vulnérabilités, en particulier à mesure que de nouvelles technologies apparaissent. Cela n'a jamais été aussi vrai qu'aujourd'hui, alors que nous nous trouvons collectivement à un point d'inflexion de l'IA où de nouvelles évolutions et de nouveaux cas d'utilisation semblent émerger chaque jour.

Pour relever ces défis, la Fondation OWASP a récemment publié sa version mise à jour du Top 10 de l'OWASP pour les applications LLM (Large Language Model), qui vise à informer les développeurs, les architectes et les autres contributeurs à la fourniture de logiciels des risques potentiels liés au déploiement de LLM et d'applications d'IA générative. Chez Secure Code Warrior, nous sommes ravis d'annoncer que les modifications et les mises à jour de cette dernière version sont déjà mises en œuvre et disponibles sur notre plateforme d'apprentissage du code sécurisé. Grâce à ces documents récemment disponibles et mis à jour, tous nos utilisateurs peuvent rester à la pointe de l'atténuation des risques lors de l'utilisation des LLM.

Quelles sont les nouveautés de cette mise à jour ?

L'OWASP a retiré deux articles de son précédent Top 10 :

• Conception de plug-in non sécurisée - qui concerne la manière dont les LLM interagissent avec les plugins et la manière dont les plugins interagissent avec le stockage ou les services externes.
• Vol de modèles - faisant référence à la réplication ou à l'acquisition non autorisée de modèles d'apprentissage automatique ou de systèmes d'IA.

Conformément aux versions précédentes du Top 10 de l'OWASP, Secure Code Warrior avait Directives associés à ces vulnérabilités dans le cadre de notre cours LLM Top 10. Ces directives, qui fournissent des informations faciles à comprendre sur les vulnérabilités et les concepts de sécurité dans un format facile à comprendre et lisible, ont depuis été supprimées du programme du cours. Cependant, les directives restent disponibles dans Explore, de même que tous les autres supports pédagogiques que nous proposons.

En maintenant son Top 10 à un niveau officiel de 10, l'OWASP a ajouté deux nouveaux articles :

• Fuite rapide du système - où les instructions généralement masquées qui guident le comportement d'un modèle sont exposées aux utilisateurs.
• Vecteur et intégration - qui peuvent exposer des informations spécifiques, exclusives ou en temps réel qui ne sont pas accessibles au public

Des directives concernant ces vulnérabilités ont été ajoutées au cours LLM Top 10, et tout comme les directives qui ont été supprimées, ces deux directives sont également accessibles dans Explore pour les utilisateurs qui souhaitent tirer parti de l'apprentissage à leur propre rythme.

Enfin, l'OWASP a également apporté quelques modifications aux catégories de vulnérabilités existantes dans sa liste, en renommant certaines catégories pour qu'elles soient plus complètes ou spécifiques, et en modifiant leurs définitions. Nos directives relatives à ces sujets ont maintenant été mises à jour pour refléter à la fois les modifications mineures apportées par rapport aux directives de l'OWASP ainsi que les nouvelles conventions de dénomination. De plus, leur liste par ordre de priorité a été mise à jour pour correspondre à l'ordre défini dans le Top 10 de l'OWASP LLM.

Chez Secure Code Warrior, nous nous engageons à aider nos utilisateurs à garder une longueur d'avance. Les dernières mises à jour de l'OWASP étant déjà reflétées dans notre plateforme d'apprentissage agile, nous avons permis à nos utilisateurs d'accéder facilement à des supports de formation à jour qui couvrent les vulnérabilités les plus récentes et atténuent les risques lors du déploiement des technologies LLM et Generative AI. Que vous souhaitiez faire face aux menaces récemment introduites que sont les fuites rapides du système ou les vecteurs et l'intégration, ou que vous mettiez à jour votre compréhension de la désinformation et de la consommation illimitée, notre plateforme fournit les ressources dont vous avez besoin pour maîtriser ces concepts essentiels et améliorer votre posture de sécurité.