今月11月18日にOWASPは正式に「OWASP Top 10 for LLM Applications」の2025年版を公開しました。
OWASP TOP 10 for LLMは2023年に初版が発表されました。今回の2025年改定版では、最新のLLMリスクやアプリケーションアーキテクチャを考慮して、チャットボットやRAGシステムなどのLLMアプリケーションにおける、主要なセキュリティリスクを明らかにするとともに、それを軽減するための具体的な方策を提示しています。
「OWASP Top 10 for LLMs」の背景
OWASP（Open Web Application Security Project）は、ソフトウェアセキュリティに特化した非営利財団およびコミュニティであり、Webアプリケーションセキュリティの業界標準である「OWASP Top Ten」で著名な組織です。
元々の「OWASP Top Ten」では、Web開発者向けにセキュリティリスクを提示していましたが、「OWASP Top 10 for LLMs」は、LLMアプリケーション開発者向けに設計されており、プロンプトインジェクション、機密情報の漏洩、サプライチェーンリスクなど、主要なセキュリティリスクを明確化しています。このリストは、過去2年間にわたる数百人の専門家によるコントリビューションを経て作成されたものです。
注意: このリストは「OWASP Top 10 for LLMs」と略されることが多いですが、主にLLMアプリケーション開発者を対象としており、LLMの基盤モデル開発者を対象としているわけではありません。
2025年版での改善点
従来のWebアプリケーション向けの「OWASP Top Ten」は4年ごとの更新ですが、「OWASP Top 10 for LLMs」は、LLMの能力向上、ユースケースの多様化、さらにリスクの急速な拡大に対応するため、毎年更新されています。
2025年版は、前回の「v1.1」バージョンと比較し、以下の点で大幅な改善が加えられています。
新規追加項目
2025年版には、最先端のアプリケーションと攻撃手法を反映した新たな脆弱性リスクが、3つ追加されています。
- LLM07:2025 システムプロンプト漏洩
開発者は、LLMの応答を通じて、システムプロンプトが漏洩するリスクを軽減する必要があります。システムプロンプトに機密情報を含めないようにするとともに、ガードレール等を通じた独立したセキュリティ制御を行うことも有効です。 - LLM08:2025 ベクトルおよび埋め込み(Embedding)にかかわる弱点
RAGシステムにアクセス制御ルールを統合し、ユーザーが許可されていないドキュメントから情報が漏洩しないようにする必要があります。 - LLM09:2025 誤情報
LLM生成テキストは事実に基づいていない可能性があるため、RAG技術を活用し、事実の一貫性(factual consistency)などの評価指標を使用して誤情報のリスクを最小化すべきです。
削除された項目
さらに、以下の脆弱性が2025年版から削除されています。
- LLM07: 不適切なプラグイン設計
→ LLM06:2025 過剰な代理(Excessive Agency)に一部統合。 - LLM09: 過度の信頼(Overreliance)
→ LLM09:2025 誤情報に一部統合。 - LLM10: モデル盗難
→ LLM10:2025 無制限な消費(Unbounded Consumption)に一部統合。
変更点
最後に、2025年版では以下の項目が改名され、スコープが拡大されています。
- LLM02: 不安全な出力処理
→ LLM05:2025 不適切な出力処理
- LLM03: トレーニングデータのポイズニング
→ LLM04:2025 データおよびモデルのポイズニング
- LLM04: サービス拒否
→ LLM10:2025 無制限な消費
Citadel Lensを活用したLLMアプリケーションのセキュリティ対策
Citadel Lensは、組織がLLMアプリケーションのセキュリティと安全性を評価、監視、改善するためのソフトウェアソリューションです。
たとえば、LensはLLM応答のセキュリティを自動的にスキャンし、「LLM02:2025 機密情報の漏洩」「LLM07:2025 システムプロンプト漏洩」「LLM09:2025 誤情報」などのリスクを網羅した豊富な組み込みおよびカスタムメトリクスを提供します。
また「LLM01:2025 プロンプトインジェクション」に記載されているように、Lensはジェイルブレイクをシミュレートし、悪意のあるユーザーに対してLLMアプリケーションの堅牢性をテストすることができます。
さらに技術的なテストに加え、Lensでは内部およびサードパーティモデル/データセットの由来を追跡するためのモデルカードおよびデータカードを提供し、「LLM03:2025 サプライチェーン」で説明されるリスクの管理を支援します。
先進的なユーザーは、Citadel Lensを用いてAIセキュリティレイヤーを構築し、OWASP Top 10 for LLMs、EU AI法、ISO 42001などの主要な業界標準に準拠した安全対策の強化に着手しています。Citadel Lensが貴社のLLMアプリケーションをどのように保護することができるか、デモをご希望の場合は、ぜひお問い合わせください。
