DAST LLM 掃描器

動態測試應用程式中的大型語言模型 (LLM) 功能，藉此預先偵測機密資訊揭露、提示注入、資料外洩、工具濫用、內容政策違規等問題，防止遭攻擊者利用。配置 AppScan 以針對會話端點、檢索增強生成 (RAG) 管道及其他 LLM 元件進行測試，並透過完整的對話紀錄與修正指引檢閱可重現的結果。

註： DAST LLM 掃描器是一項創新功能，其工作流程可能會變更，而不另行通知。雖然它目前隨附於 AppScan Standard 授權中，但日後可能需取得個別授權才能存取。

大型語言模型 (LLM)

LLM 是一種以大量文字語料訓練的神經網路，能理解並生成自然語言，用於會話、摘要與程式碼生成等任務。

整合外部工具與資料來源（例如檢索增強生成 (RAG) 及外掛模組）可擴充功能，但也帶來提示注入、機密資料外洩與非預期操作等風險。因此，需要強化測試與控制機制。

AppScan DAST LLM 掃描器

LLM 漏洞可能導致機密資料外洩、觸發未授權的工具或 API 操作、操縱輸出結果，甚至中斷服務。這些問題會削弱安全性、可靠性與法規相符性。

如要瞭解主要風險類別與攻擊模式，請參閱 OWASP LLM 應用程式 10 大安全風險。該資源說明提示注入、資料外洩、訓練資料汙染與模型濫用等重大威脅。

您可以啟用 AppScan DAST LLM 掃描器配置並測試 LLM 相關漏洞，來降低這些安全風險。這有助於驗證防禦機制並防止漏洞遭到惡意探索。在 DAST 掃描中啟用 LLM，可於開發週期的早期階段識別並修正潛在風險。

涵蓋範圍摘要

AppScan DAST 會執行端對端 LLM 工作流程，來檢查其行為與回應，找出以下問題：

  • 提示注入與越獄嘗試

  • 機密資料揭露與資料外洩

  • 函式或工具呼叫濫用與未授權操作

  • 檢索增強生成 (RAG) 相關威脅，包括檢索操作竄改

  • 資料儲存存取配置錯誤

  • 程式碼執行與 Shell 指令注入

限制

  • LLM 輸出內容具不確定性，重新執行可能產生不同結果。
  • 供應商端的速率限制與安全性篩選可能影響掃描涵蓋範圍。