F5-Ausrichtung an den OWASP Top 10 für LLMs
Die OWASP Top 10 für LLM-Anwendungen (2025) verdeutlichen, dass KI neue Sicherheits- und Governance-Risiken mit sich bringt und zugleich die Anforderungen an den herkömmlichen Anwendungsschutz erhöht. Wenn Unternehmen von KI-Pilotprojekten zum produktiven Einsatz übergehen, benötigen Sicherheitsteams Kontrollmechanismen, die mit den sich weiterentwickelnden Angriffstechniken Schritt halten und gleichzeitig Datenschutz- und Compliance-Anforderungen erfüllen können.
Die folgenden Abschnitte ordnen jedem OWASP-LLM-Risikobereich relevante F5-Funktionen zu: F5 AI Guardrails für modellunabhängigen Laufzeitschutz und die Durchsetzung von Richtlinien bei KI-Interaktionen, F5 Web App and API Protection (WAAP) zum Schutz der Anwendungs- und API-Schnittstellen, die KI-Workflows ermöglichen, sowie F5 AI Red Team zur proaktiven Bewertung von Schwachstellen in Modellen und Anwendungen, bevor Angreifer sie ausnutzen.
LLM01: Prompt-Injektion
Prompt Injection tritt auf, wenn Benutzereingaben ein Modell zu schädlichem Verhalten verleiten, etwa zur Offenlegung vertraulicher Informationen, zur Gewährung unbefugten Zugriffs oder zur Erzeugung voreingenommener oder toxischer Inhalte. F5 AI Guardrails schützt vor diesen Risiken, indem sowohl Prompts als auch Modellausgaben auf bösartige Aktivitäten geprüft und gefährliche oder nicht richtlinienkonforme Interaktionen blockiert werden. Die Lösung bietet sofort einsatzbereiten Schutz vor Tausenden bekannten Prompt-Injection-Techniken sowie eine Benutzeroberfläche, über die sich bei neu auftretenden Bedrohungen schnell benutzerdefinierte Guardrails erstellen lassen.
LLM02: Offenlegung sensibler Informationen
Die Offenlegung sensibler Informationen birgt ein wechselseitiges Risiko: KI-Anwendungen können unbefugten Nutzern Daten zugänglich machen, und Nutzer können sensible Informationen – etwa personenbezogene oder geschützte Daten – übermitteln, die das System nicht verarbeiten darf. F5 AI Guardrails begegnet beiden Risiken, indem sensible Datentypen wie PII, PCI und PHI gefiltert werden, um nicht richtlinienkonforme Interaktionen zu verhindern. Teams können außerdem benutzerdefinierte Datenmuster festlegen, um Nutzereingaben, Modellausgaben oder beides zu überwachen oder zu blockieren. Darüber hinaus unterstützt AI Guardrails herkömmliche Funktionen der Zugriffsverwaltung wie die Bereitstellung von RBAC-Gruppen, um die Durchsetzung von Richtlinien an einzelne Nutzer oder Gruppen anzupassen.
LLM03: Lieferkette
Schwachstellen in der Lieferkette von LLMs gefährden die Integrität von Trainingsdaten, Modellen und Bereitstellungsplattformen. Das größte Risiko entsteht durch den Einsatz vortrainierter Modelle von Drittanbietern und von Low-Rank-Adaptern (LoRAs), mit denen ein Basismodell ohne erneutes Training feinabgestimmt wird. Da auf Plattformen wie Hugging Face Millionen von Modellen und LoRAs verfügbar sind, vergrößert sich die Angriffsfläche erheblich. Dadurch entstehen bei unzähligen Modellvarianten Möglichkeiten für Manipulationen und Datenvergiftung. F5 AI Guardrails schafft eine einheitliche Ebene zur Durchsetzung von Richtlinien in allen KI-Anwendungen – unabhängig von der Herkunft des Modells. Als Proxy eingesetzt, der Interaktionen zwischen Benutzern, Agenten und Anwendungen überprüft, wendet AI Guardrails einheitliche Sicherheitskontrollen zur Laufzeit an, um Risiken durch verzerrte Trainingsdaten, Modellvariabilität und potenzielle Exploits zu mindern, bevor schädliche Ausgaben die Benutzer erreichen. Darüber hinaus führt F5 AI Red Team groß angelegte Angriffssimulationen durch, um die spezifischen Risiken und Verhaltenstendenzen einzelner Modelle zu bewerten. Da sich Risikoprofile selbst innerhalb derselben Modellfamilie stark unterscheiden können, liefert AI Red Team schnell umsetzbare Erkenntnisse zu Schwachstellen, bevor Angreifer sie ausnutzen können.
LLM04: Daten- und Modellvergiftung
Bei Data and Model Poisoning werden Trainings-, Feinabstimmungs- oder Abrufdaten gezielt manipuliert. Dies kann die Qualität der Ausgaben beeinträchtigen, Verzerrungen verursachen oder Hintertür-Trigger einschleusen. F5 mindert die Risiken einer solchen Manipulation, indem exponierte Anwendungs- und API-Schnittstellen mit F5 Web App and API Protection (WAAP) geschützt werden. Funktionen von F5 WAAP wie Bot Defense und DDoS Mitigation reduzieren das automatisierte Einschleusen schädlicher Inhalte in Aufnahme- und Feedback-Workflows. API Discovery and Security wiederum helfen dabei, APIs zur Datenerfassung und zum Datenabruf zu identifizieren und zu kontrollieren – einen der häufigsten Angriffswege zur Beeinflussung des Modellverhaltens. Darüber hinaus kann F5 AI Guardrails als kompensierende Laufzeitkontrolle dienen, indem bekannte Anzeichen für Datenmanipulationen, etwa Trigger-Phrasen oder -Muster, mithilfe benutzerdefinierter Guardrails erkannt und blockiert werden.
LLM05: Unsachgemäße Ausgabeverarbeitung
Eine unsachgemäße Ausgabeverarbeitung liegt vor, wenn von LLMs generierte Ausgaben nicht ausreichend validiert oder bereinigt werden, bevor sie an nachgelagerte Systeme weitergegeben werden. Da Angreifer die Modellausgaben durch gezielt formulierte Prompts beeinflussen können, kann dies indirekten Zugriff auf sensible Funktionen ermöglichen und nachgelagerte Auswirkungen wie XSS oder CSRF in Browsern beziehungsweise SSRF, Rechteausweitung und die Ausführung von Remotecode in Backend-Systemen nach sich ziehen. F5 AI Guardrails mindert dieses Risiko, indem Modellausgaben geprüft werden, bevor sie an Benutzer übermittelt oder an nachgelagerte Tools weitergeleitet werden. Unsichere Inhalte werden dabei auf Grundlage definierter Richtlinien blockiert oder protokolliert. F5 Web App and API Protection (WAAP) reduziert die Angriffsfläche zusätzlich, indem bewährte Sicherheitskontrollen für Webanwendungen und APIs – darunter API-Erkennung, Schemavalidierung und Bedrohungsschutz – auf die Anwendungen und APIs angewendet werden, die LLM-Ausgaben verarbeiten. So wird verhindert, dass bösartige Payloads zu ausführbaren Angriffen werden.
LLM06: Übermäßige Handlungsautonomie
Übermäßige Handlungsautonomie liegt vor, wenn einem Modell oder Agenten mehr Autonomie, Berechtigungen oder Zugriff auf Tools gewährt werden als erforderlich. Dadurch können manipulierte Eingaben unbeabsichtigte Aktionen auslösen, etwa das Senden von Nachrichten, das Ausführen von Transaktionen oder das Ausschleusen von Daten. F5 AI Guardrails mindert dieses Risiko, indem richtlinienbasierte Beschränkungen für die Anfragen und Ausgaben von Modellen durchgesetzt und nicht konforme Interaktionen blockiert werden, bevor sie Tools oder nachgelagerte Systeme erreichen. F5 Web App and API Protection (WAAP) bietet zusätzlichen Schutz, indem Authentifizierung, Autorisierung und Ratenbegrenzung für Tool- und Plug-in-APIs durchgesetzt werden. So bleiben die zugrunde liegenden Dienste selbst dann geschützt, wenn ein Agent eine unsichere Aktion versucht.
LLM07: Offenlegung des System-Prompts
Ein System-Prompt-Leak tritt auf, wenn Angreifer verborgene Anweisungen, Zugangsdaten oder in System-Prompts eingebettete Richtlinienlogik extrahieren und dieses Wissen nutzen, um Kontrollen zu umgehen oder Angriffe auszuweiten. F5 AI Guardrails mindert dieses Risiko, indem es gängige Extraktionsmuster in Benutzereingaben erkennt und blockiert sowie Antworten filtert, damit das Modell keine geschützten Prompt-Inhalte ausgibt. F5 AI Red Team testet Modelle und Anwendungen proaktiv und in großem Umfang auf Prompt-Leaks und ihre Anfälligkeit für die Extraktion von System-Prompts. Die daraus gewonnenen, direkt umsetzbaren Erkenntnisse ermöglichen es, Prompts, Richtlinien und Laufzeitkontrollen bereits vor der Bereitstellung zu härten.
LLM08: Schwachstellen bei Vektoren und Einbettungen
Schwachstellen bei Vektoren und Einbettungen treten in Retrieval-Augmented-Generation-(RAG-) und einbettungsbasierten Systemen auf, wenn Angreifer abgerufene Inhalte manipulieren, vergiften oder ausnutzen, um Antworten zu beeinflussen, die Offenlegung sensibler Daten auszulösen oder Sicherheitskontrollen zu umgehen. F5 Web App and API Protection (WAAP) trägt dazu bei, diese Risiken zu mindern, indem es die APIs schützt, die zum Einlesen von Dokumenten, Verwalten von Sammlungen und Ausführen von Abrufabfragen verwendet werden. Dazu gehören API-Erkennung, Schema-Durchsetzung sowie die Abwehr von Bots und Missbrauch. F5 AI Guardrails reduziert die nachgelagerten Auswirkungen zusätzlich, indem es Modellantworten zur Laufzeit prüft und benutzerdefinierte Richtlinien darauf anwendet. So können verdächtige Muster, unsichere Inhalte oder sensible Daten erkannt werden, bevor die Antworten an die Benutzer übermittelt werden.
LLM09: Fehlinformationen
Das Risiko von Fehlinformationen entsteht, wenn ein LLM falsche oder irreführende Ausgaben erzeugt, die zu unsicheren Entscheidungen, Reputationsschäden oder Compliance-Verstößen führen können. F5 AI Guardrails mindert dieses Risiko durch Guardrails zur Inhaltsmoderation, die besonders riskante Inhaltskategorien kennzeichnen oder blockieren, bestimmte Antwortstrukturen vorschreiben oder zusätzliche Kontrollen auslösen, wenn Inhalte unsicher oder nicht regelkonform erscheinen. F5 AI Red Team bewertet das Verhalten von KI-Systemen bei konfrontativen Fragestellungen und in Grenzfällen. So können Teams die Neigung zu Fehlinformationen quantifizieren und Richtlinien sowie Workflows vor der Produktivsetzung optimieren.
LLM10: Unbegrenzter Ressourcenverbrauch
Unbegrenzter Ressourcenverbrauch tritt auf, wenn Angreifer oder falsch konfigurierte Clients eine übermäßige Modellnutzung verursachen. Dies kann durch eine hohe Anzahl von Anfragen, übergroße Prompts oder missbräuchliche Automatisierung zur Erschöpfung von Ressourcen, zu eingeschränkter Verfügbarkeit oder zu unerwartet hohen Kosten führen. F5 Web App and API Protection (WAAP) mindert dieses Risiko durch Ratenbegrenzung und DDoS-Abwehr auf Anwendungs- und API-Ebene, sodass missbräuchlicher Datenverkehr reduziert wird, bevor er die Modellinfrastruktur erreicht. In Kombination mit der Erkennung von KI-bezogenen APIs und entsprechenden Sicherheitskontrollen trägt F5 WAAP dazu bei, sowohl die Verfügbarkeits- als auch die Kostenrisiken einer unkontrollierten LLM-Nutzung einzudämmen.
KI-Sicherheit ist ein bewegliches Ziel
Die Absicherung von LLM-Anwendungen erfordert mehr als punktuelle Tests oder die Standardeinstellungen des Modellanbieters. Eine wirksame KI-Sicherheitsstrategie setzt die kontinuierliche Durchsetzung von Richtlinien zur Laufzeit sowie einen robusten Schutz der APIs, Tools und Datensysteme voraus, auf die LLMs angewiesen sind. F5 deckt die OWASP Top 10 für LLM-Anwendungen (2025) durch die Kombination folgender Maßnahmen ab:
- F5 AI Guardrails – Adaptive, modellunabhängige Laufzeitsicherheit mit F5 AI Guardrails zur Verhinderung von Datenlecks, manipulativen Angriffen und schädlichen Ausgaben
- F5 AI Red Team – Proaktive Tests mit F5 AI Red Team, um modell- und workflowspezifische Schwachstellen frühzeitig aufzudecken und die Erkenntnisse in aktive Schutzmaßnahmen umzusetzen
- F5 Web App and API Protection (WAAP) – Anwendungs- und API-Kontrollen zur Verringerung von Gefährdung, Missbrauch und Ressourcenrisiken
Zusammen ermöglichen diese Ebenen Unternehmen, ihre KI-Anwendungen zu skalieren und gleichzeitig Resilienz, Compliance und das Vertrauen der Nutzer zu wahren, während sich LLM-gestützte Erlebnisse weiterentwickeln.