LLM07: Insecure Plugin Design

https://owasp.org/www-project-top-10-for-large-language-model-applications/assets/PDF/OWASP-Top-10-for-LLMs-2023-v1_1.pdf의 번역 자료입니다. Description LLM 플러그인은 확장 기능으로, 활성화되면 사용자와 상호작용하는 동안 LLM 모델에 의해 자동으로 호출됩니다.

이러한 플러그인은 모델 통합 플랫폼에 의해 구동되며, 애플리케이션은 모델이 타사에 의해 호스팅되는 경우 실행에 대한 제어권이 없을 수 있습니다. 또한, 플러그인은 Context 크기 제한을 우회하기 위한 유효성 검사나 형식 검사가 없는 자유 텍스트 입력을 구현할 가능성이 큽니다.

이는 잠재적인 공격자가 플러그인에 악의적인 요청을 구성할 수 있게 하여 원격 코드 실행을 포함한 다양한 원치 않는 동작을 유발할 수 있습니다. 입력값 검증 미흡의 피해는 주로 불충분한 접근 제어와 플러그인 간의 권한 추적 실패에 달려 있습니다...