OWASP Top 10 لـ تطبيقات LLM

نشأت OWASP Top 10 for LLM Applications في 2023 بوصفها مشروع OWASP مستقلًا، ويتابعها اليوم OWASP GenAI Security Project الذي يشارك فيه وفق بيانات المشروع أكثر من 600 خبير من أكثر من 18 دولة. والنسخة الحالية هي الإصدار 2025؛ وقد حلّت محل الإصدار السابق 1.1 ‏(2023) وتسمّي المخاطر بشكل موحّد من LLM01:2025 إلى LLM10:2025. وهي وثيقة للتوعية وتحديد الأولويات، لا معيار قابل للاعتماد: فالقائمة ترتّب فئات المخاطر الأخطر من منظور المجتمع، لكنها لا تحل محل نموذج تهديدات ولا إطار ضوابط مثل NIST AI RMF. ونطاق تطبيقها هو التطبيقات التي تدمج LLM – من واجهة محادثة بسيطة مرورًا بأنظمة RAG وحتى Copilot مرتبط بأدوات.

يشير LLM01 Prompt Injection إلى التلاعب بسلوك النموذج عبر المدخلات – مباشرةً من المستخدمين أو بشكل غير مباشر عبر محتويات تجري معالجتها مثل المستندات وصفحات الويب ورسائل البريد الإلكتروني؛ وبما أنه لا يمكن منعها بالكامل وفق المعطيات الحالية، فإن الصلاحيات المحدودة ومرشحات المدخلات والمخرجات والموافقات البشرية للإجراءات الحرجة هي خط الدفاع الأساسي. ويصف LLM02 Sensitive Information Disclosure الإفصاح عن معلومات حساسة في مخرجات النموذج، مثل البيانات الشخصية أو الأسرار التجارية أو بيانات الوصول؛ ويساعد في مواجهة ذلك تقليل البيانات وتنقيتها في التدريب والسياق، وضوابط وصول صارمة، وتصفية المخرجات. ويشمل LLM03 Supply Chain المخاطر الناشئة عن النماذج المدرَّبة مسبقًا ومجموعات بيانات التدريب ومحوّلات الضبط الدقيق ومنصات الأطراف الثالثة؛ ومن الإجراءات المضادة النموذجية فحوص المصدر والسلامة، وجرد جميع عناصر النماذج والبيانات، والحصول عليها حصريًا من مصادر موثوقة.

يعني LLM04 Data and Model Poisoning التلاعب المتعمد ببيانات التدريب أو الضبط الدقيق أو التضمين (Embedding) لزرع أبواب خلفية أو تحيّزات؛ ومن الإجراءات المضادة التحقق من مصدر البيانات واكتشاف الحالات الشاذة والتقييم المنهجي بما في ذلك محاكاة الهجمات (Red Teaming) قبل التشغيل الإنتاجي. وينشأ LLM05 Improper Output Handling عندما تُعالَج مخرجات النموذج لاحقًا دون فحص فتؤدي في الأنظمة اللاحقة إلى Cross-Site-Scripting أو SQL-Injection أو تنفيذ تعليمات برمجية؛ والقاعدة الأساسية هي معاملة المخرجات كمدخلات مستخدمين غير موثوقة – مع التحقق والترميز الملائم للسياق والاستدعاءات المُعلَّمة (Parameterized). ويصف LLM06 Excessive Agency مكوّنات LLM مُنحت وظائف كثيرة جدًا أو صلاحيات واسعة جدًا أو استقلالية مفرطة؛ ويواجه ذلك الحد الأدنى من مجموعات الأدوات، وصلاحيات أقل امتياز (Least Privilege) لكل أداة، وخطوات موافقة إلزامية قبل الإجراءات ذات العواقب.

يتناول LLM07 System Prompt Leakage كشف موجّهات النظام (System Prompts) – وهو أمر حرج إذا تضمنت بيانات وصول أو منطقًا أمنيًا؛ ولذلك لا مكان للأسرار في الموجّه أبدًا، ويجب فرض الضوابط الأمنية خارج النموذج. ويتعلق LLM08 Vector and Embedding Weaknesses بمسارات RAG وقواعد البيانات المتجهية، مثل الوصول غير المصرّح به إلى التضمينات أو المحتويات المزروعة أو اختلاط سياقات عدة عملاء (مستأجرين)؛ ومن الإجراءات المضادة ضوابط وصول دقيقة على مستوى المستندات، وفصل نظيف بين العملاء، والتحقق من مصادر المعرفة. ويشير LLM09 Misinformation إلى مخرجات خاطئة مهنيًا لكنها تبدو معقولة، يثق بها المستخدمون بسبب نبرتها المرجعية؛ ويساعد في مواجهتها RAG بمصادر منتقاة، وذكر المصادر في الإجابات، والمراجعة البشرية في العمليات الحرجة. وأخيرًا يشمل LLM10 Unbounded Consumption الاستهلاك غير المنضبط للموارد الذي قد يصل إلى حجب الخدمة (Denial of Service) وانفجار التكاليف واستخراج النموذج؛ ويُحدّ منه عبر حدود المعدل (Rate Limits) والحصص وحدود حجم المدخلات والمراقبة المستمرة للتكاليف.

في 9 ديسمبر 2025 نشر OWASP GenAI Security Project بشكل تكميلي OWASP Top 10 for Agentic Applications (الإصدار 2026) – عشرة مخاطر من ASI01 «Agent Goal Hijack» إلى ASI10 «Rogue Agents» لأنظمة الوكلاء المستقلة؛ وكلتا القائمتين صادرتان عن المشروع نفسه ومصمَّمتان بشكل تكاملي. والقاعدة العامة للاختيار: تنطبق قائمة LLM على التطبيقات التي تدمج نموذجًا وتعالج مدخلاته ومخرجاته. وبمجرد أن يخطط النظام فوق ذلك بشكل مستقل أو يستدعي أدوات أو يخزّن حالات بشكل دائم أو يتواصل مع وكلاء آخرين، تُضاف فئات المخاطر الوكيلية – وتبقى قائمة LLM سارية على مستوى النموذج والموجّه، إذ إن كثيرًا من مخاطر ASI جذرها Prompt Injection ‏(LLM01). وتجدون عرضًا مفصلًا لقائمة ASI على صفحة المعرفة لدينا الخاصة بـ OWASP Top 10 لتطبيقات Agentic Applications.

في ممارسة الفحص تُستخدم القائمة أساسًا إطارًا مشتركًا لتحديد النطاق وإعداد التقارير: إذ يحدد العميل والمختبِر أيّ فئات المخاطر العشر ذات صلة بالنظام المستهدف، ويربطون النتائج بشكل قابل للتتبع بـ LLM01–LLM10. ويعتمد ما يمكن اختباره فعليًا من المخاطر على البنية – فـ Prompt Injection ومعالجة المخرجات وSystem Prompt Leakage وUnbounded Consumption قابلة للفحص مباشرةً على النظام العامل، بينما تتطلب مخاطر سلسلة التوريد والتسميم مراجعات للبنية والعمليات أكثر من مجرد محاكاة الهجمات. ويحتاج نظام RAG إضافةً إلى ذلك إلى اختبارات على LLM08، والتطبيق المرتبط بأدوات إلى تركيز على LLM06؛ وفي أنظمة الوكلاء الحقيقية ينبغي توسيع النطاق ليشمل تصنيف ASI. ولا يحل اختبار اختراق LLM محل اختبار الويب أو API التقليدي، بل يُكمّله بسطح الهجوم الخاص بالنموذج.