https://www.helpnetsecurity.com/2024/09/30/llm-issues/
API 的問題可能會成為人工智慧（AI）的傢伙。
應用程式介面（API）是生成式人工智慧（GenAI）與代理人（例如，要求數據）功能所必需的。然而，API 和 LLM 問題的結合，再加上快速的推出，可能導致許多組織必須對抗安全漏洞。GenAI 容易受到與 API 相關的安全問題的影響，例如認證、授權和數據曝露，此外還有一些已被 OWASP 項目在其十大對 LLM 應用和生成式 AI 的威脅中詳細記錄的 AI 特定關注點。
攻擊了如何對準 AI 和 API
OWASP 清單中的第一名是指令注入（LLM01），這種攻擊可以透過系統提示或經由 LLM 諮詢的外部來源進行間接來實施。
指令注入可以用來欺騙 LLM 刪除其他用戶帳戶或透過後端 API 請求信息時，將輸出處理不當（LLM02）感到信任。因此，需要實施諸如輸入驗證、輸出保護和內容篩選的控制來解決這些問題。
另一個與 API 相關的關鍵問題是模型阻斷服務（LLM04），這種攻擊可迫使業務將資源用於回應請求，進而導致用戶服務質量下降。這些攻擊也可以利用 API 的限制來改變速率限制，從而導致 API 被請求淹沒。有很多方法來對抗這種威脅。
當然，GenAI 的一個主要擔憂是其可能洩露敏感信息，許多專有供應商都強調在商業環境中部署這項技術之前要關閉存取權限。對 API 被入侵所導致的問題是其中一個關鍵問題。
最後，對 LLM 的頂級十大問題中的一個是模型盜竊（LLM10），這涉及整個專有模型和所擁有的敏感智慧財產的侵害。
防禦攻擊
為了解決這些問題，LLM 提供者正在進行紅隊測試以發現並教導 LLM 如何防禦 OWASP 項目十大中識別的攻擊類型。
然而，不僅僅是對付意圖取得所需數據的攻擊是值得擔憂的，基礎設施本身也是一個主要的目標。這明顯是一個吸引人的目標，因為 LLM 可以進行敏感數據的訪問和處理。處於我們盛會，具體描述了對 LLM10（模型盜竊）的最近警告。
希望這個摘要能對你有幫助。
via News Archives – Help Net Security
September 30, 2024 at 01:01PM