設定並執行 LLM 掃描

設定供應商存取權限，擷取具代表性的 LLM 序列，啟用所需功能，並在受控測試環境中執行掃描。

開始之前

請確保您擁有 Azure OpenAI 帳戶。

程序

  1. 設定供應商存取權限與金鑰。請參閱設定供應商存取權限。
  2. 建立 DAST Web 應用程式掃描：在特定應用程式頁面上，按一下建立掃描，然後按一下 DAST 動態分析底下的建立掃描，接著再按一下掃描 Web 應用程式。
  3. 輸入起始 URL 和網域，以及其他所需的掃描配置。
  4. 在目標 > LLM 底下：
    1. 使用活動記錄器擴充功能（適用於 Chrome 和 Edge），在應用程式中找出 LLM 服務。
    2. 開始記錄並導覽至 LLM 服務。
    3. 輸入並提交提示： AppScan
    4. 停止記錄並上傳記錄檔案。
    5. 如果需要 ASoC 使用登入管理設定來存取 LLM，請選取使用登入設定以存取 LLM 勾選框。
    6. LLM 資料庫連線（選用）：選取 LLM 已連線至資料庫勾選框，並提供與資料庫連接的表格名稱，以完整對映並測試 LLM 服務的資料庫攻擊面。AppScan 會利用這些資訊模擬注入攻擊，並識別可能導致未授權資料存取的漏洞。
  5. 如果 LLM 網域與起始 URL 不同，請將其新增至「要測試的網域」清單。
  6. 按一下掃描以執行掃描。您可以在掃描和階段作業頁面上檢視掃描狀態。

結果

掃描會識別出漏洞，並提供修正所需的證據與指引。AppScan 會在問題詳細資料窗格中顯示包含證據的結果，以簡化分類處理流程。

顯示已識別 LLM 漏洞的問題資訊頁面

  • LLM 測試互動會顯示導致 AppScan 偵測出漏洞的對話內容。對於其他問題，此處會顯示測試要求與回應區段。
  • 若要過濾 LLM 漏洞，請在搜尋問題列中輸入前綴字 “llm”。

    顯示已依 LLM 過濾問題的問題資訊

下一步

  • 產生 OWASP 2025 年 LLM 應用程式 10 大安全風險報告。