LLM向けOWASP Top 10とF5の対応

OWASP Top 10 for LLM Applications（2025）は、AIが新たなセキュリティおよびガバナンス上のリスクをもたらすと同時に、従来のアプリケーション保護の重要性を一層高めていることを浮き彫りにしています。組織がAIの試験導入から本番運用へ移行する中、セキュリティチームには、進化する攻撃手法に対応しながら、プライバシーおよびコンプライアンスの要件も満たせる制御が必要です。

以下のセクションでは、OWASPの各LLMリスク領域と、関連するF5の機能を対応付けています。具体的には、F5 AI Guardrailsは、モデルに依存しないランタイム保護とAIインタラクション全体にわたるポリシー適用を実現し、F5 Web App and API Protection (WAAP)は、AIワークフローを支えるアプリケーションとAPIの接点を保護します。また、F5 AI Red Team は、攻撃者に悪用される前に、モデルとアプリケーションの脆弱性をプロアクティブに評価します。

LLM01：プロンプトインジェクション

プロンプトインジェクションは、ユーザー入力によってモデルが操作され、機密情報の漏えい、不正アクセスの許可、偏見を含むコンテンツや有害なコンテンツの生成といった有害な動作を引き起こすことで発生します。F5 AI Guardrailsは、プロンプトとモデル出力の両方を検査して悪意のあるアクティビティを特定し、危険なやり取りやコンプライアンスに違反するやり取りをブロックすることで、こうしたリスクを軽減します。既知の数千種類のプロンプトインジェクション手法に対する保護機能を標準で提供するほか、新たな脅威の出現時にカスタムGuardrailsを迅速に作成できるインターフェースも備えています。

LLM02：機密情報の漏えい

機密情報の漏えいには双方向のリスクがあります。AIアプリケーションが権限のないデータをユーザーに開示する可能性がある一方で、ユーザーが、システムでの取り扱いが許可されていない個人識別情報（PII）や専有データなどの機密情報を送信する可能性もあります。F5 AI Guardrailsは、PII、PCI、PHIなどの機密データタイプをフィルタリングし、コンプライアンスに違反するやり取りを防ぐことで、両方のリスクに対処します。また、チームはカスタムデータパターンを定義し、ユーザー入力、モデル出力、またはその両方を監視またはブロックできます。さらに、AI Guardrailsは、ユーザーまたはグループごとにポリシー適用を調整するためのRBACグループプロビジョニングなど、従来のアクセス管理機能にも対応しています。

LLM03：サプライチェーン

LLMのサプライチェーンに存在する脆弱性は、トレーニングデータ、モデル、デプロイプラットフォームの完全性を脅かします。最大のリスクは、事前トレーニング済みのサードパーティ製モデルや、ベースモデルを再トレーニングせずにファインチューニングするための低ランクアダプター（LoRA）を採用することから生じます。Hugging Faceなどのプラットフォームでは数百万ものモデルやLoRAが提供されているため、攻撃対象領域が大幅に拡大し、無数のモデルバリエーションに対する改ざんやデータポイズニングの機会が生まれます。F5 AI Guardrailsは、モデルの提供元を問わず、AIアプリケーション全体に一貫したポリシー適用レイヤーを構築します。ユーザー、エージェント、アプリケーション間のやり取りを検査するプロキシとして導入されるF5 AI Guardrailsは、共通のランタイムセキュリティ制御を適用し、有害な出力がユーザーに届く前に、偏りのあるトレーニングデータ、モデルのばらつき、潜在的なエクスプロイトに起因するリスクを軽減します。さらに、F5 AI Red Teamは大規模な攻撃シミュレーションを実施し、個々のモデルに固有のリスクと動作傾向を評価します。同じモデルファミリー内でもリスクプロファイルは大きく異なる可能性があるため、F5 AI Red Teamは、攻撃者に悪用される前に脆弱性に関する迅速かつ実用的なインサイトを提供します。

LLM04：データおよびモデルのポイズニング

データおよびモデルのポイズニングとは、トレーニング、ファインチューニング、または検索に使用するデータを悪意をもって操作し、出力品質の低下、バイアスの混入、バックドアトリガーの埋め込みなどを引き起こす行為です。F5は、外部に公開されたアプリケーションおよびAPIのサーフェスをF5 Web App and API Protection（WAAP）で保護し、ポイズニングのリスクを軽減します。Bot DefenseやDDoS MitigationなどのF5 WAAP機能は、取り込みやフィードバックのワークフローへの悪意あるコンテンツの自動注入を抑制します。また、API Discovery and Securityは、モデルの動作に影響を与えるために多用される攻撃経路の1つである、データ収集および検索用APIの特定とガバナンスに役立ちます。さらに、F5 AI Guardrailsは、カスタムGuardrailsを通じてトリガーフレーズやパターンなどの既知のポイズニング指標を検出してブロックすることで、ランタイムの補完的コントロールとして機能します。

LLM05：不適切な出力処理

不適切な出力処理は、LLMが生成した出力が、後続システムに渡される前に十分な検証やサニタイズを受けていない場合に発生します。攻撃者は細工したプロンプトを通じてモデルの出力に影響を与えられるため、機密性の高い機能への間接的なアクセスにつながり、ブラウザではXSSやCSRF、バックエンドシステムではSSRF、権限昇格、リモートコード実行などの影響が後続システムに及ぶ可能性があります。F5 AI Guardrailsは、モデルの出力がユーザーに提供されたり後続のツールに送られたりする前に検査し、定義済みのポリシーに基づいて安全でないコンテンツをブロックまたはログに記録することで、このリスクを軽減します。F5 Web App and API Protection (WAAP)はさらに、APIディスカバリ、スキーマ検証、脅威対策など、確立されたWebおよびAPIセキュリティ制御を、LLMの出力を利用するアプリケーションとAPIに適用し、悪意のあるペイロードが実行可能な攻撃に発展するのを防ぐことで、リスクへの露出を低減します。

LLM06：過剰なエージェンシー

過剰なエージェンシーは、モデルやエージェントに必要以上の自律性、権限、またはツールへのアクセス権が付与され、操作された入力によって、メッセージの送信、トランザクションの実行、データの持ち出しなど、意図しないアクションが引き起こされる場合に発生します。F5 AI Guardrailsは、モデルがリクエストまたは出力できる内容にポリシーベースの制限を適用し、準拠していないインタラクションがツールやダウンストリームシステムに到達する前にブロックすることで、このリスクを軽減します。F5 Web App and API Protection (WAAP)は、ツールおよびプラグインのAPIに認証、認可、レート制限を適用することで、追加の保護を提供します。これにより、エージェントが安全でないアクションを試みた場合でも、基盤となるサービスを保護できます。

LLM07：システムプロンプトの漏えい

システムプロンプトの漏えいは、攻撃者がシステムプロンプトに埋め込まれた非公開の指示、認証情報、ポリシーロジックを抽出し、その情報を利用して制御を回避したり、攻撃をエスカレートさせたりすることで発生します。F5 AI Guardrailsは、ユーザー入力に含まれる一般的な抽出パターンを検出してブロックするとともに、モデルが制限対象のプロンプト内容を返さないよう応答をフィルタリングすることで、このリスクを軽減します。F5 AI Red Teamは、モデルやアプリケーションにおけるプロンプト漏えいとシステムプロンプト抽出への脆弱性を大規模かつプロアクティブにテストし、導入前にプロンプト、ポリシー、ランタイム制御を強化するための実用的な調査結果を提供します。

LLM08：ベクトルと埋め込みの脆弱性

ベクトルおよび埋め込みの脆弱性は、検索拡張生成（RAG）や埋め込みベースのシステムにおいて、攻撃者が検索対象のコンテンツを操作、汚染、または悪用し、応答に影響を与えたり、機密データの漏えいを引き起こしたり、安全性制御を回避したりすることで生じます。F5 Web App and API Protection (WAAP)は、ドキュメントの取り込み、コレクションの管理、検索クエリの実行に使用されるAPIを保護することで、こうしたリスクの軽減を支援します。これには、APIディスカバリ、スキーマ適用、ボットおよび不正利用の防止が含まれます。F5 AI Guardrailsはさらに、モデルの出力にランタイム検査とカスタムポリシーを適用し、応答がユーザーに配信される前に不審なパターン、安全でないコンテンツ、機密データを検出できるよう支援することで、後続への影響を軽減します。

LLM09：誤情報

誤情報リスクは、LLMが不正確または誤解を招く出力を生成し、それが安全性を損なう意思決定、評判の低下、コンプライアンス違反につながる場合に生じます。F5 AI Guardrailsは、高リスクのコンテンツカテゴリーを検出してフラグ付けまたはブロックする、特定の応答形式を必須とする、あるいはコンテンツに不確実性やコンプライアンス違反の可能性がある場合に追加の制御を適用するコンテンツモデレーション用のGuardrailsにより、このリスクを軽減します。F5 AI Red Teamは、敵対的な質問やエッジケースに対するAIシステムの挙動を評価し、チームが誤情報を生成する傾向を定量化して、本番環境への展開前にポリシーとワークフローを調整できるよう支援します。

LLM10：無制限のリソース消費

無制限のリソース消費は、攻撃者や設定に不備のあるクライアントによってモデルが過剰に使用され、大量のリクエスト、過大なプロンプト、不正な自動化を通じて、リソースの枯渇、可用性の低下、予期しないコスト増大が生じる場合に発生します。F5 Web App and API Protection（WAAP）は、アプリケーションおよびAPIレイヤーでレート制限とDDoS緩和を適用し、不正なトラフィックがモデルインフラストラクチャに到達する前に削減することで、このリスクを軽減します。AI向けAPIの検出およびセキュリティ制御と組み合わせることで、F5 WAAPは、制御されていないLLMの使用に伴う可用性とコストの両方のリスクを抑制します。

AIセキュリティは常に変化する課題

LLMアプリケーションのセキュリティを確保するには、特定時点でのテストやモデルプロバイダーのデフォルト設定だけでは不十分です。効果的なAIセキュリティ戦略には、実行時の継続的なポリシー適用と、LLMが依存するAPI、ツール、データシステムの堅牢な保護が必要です。F5は、以下を組み合わせることで、OWASP Top 10 for LLM Applications（2025）全体に対応します。

F5 AI Guardrails - F5 AI Guardrailsによる適応型かつモデル非依存のランタイムセキュリティで、データ漏えい、敵対的操作、有害な出力を防止
F5 AI Red Team - F5 AI Red Teamによるプロアクティブなテストで、モデルおよびワークフロー固有の弱点を早期に特定し、その結果を実効性のある防御策に反映
F5 Web App and API Protection (WAAP) - アプリケーションとAPIを制御し、露出、悪用、リソースに関するリスクを軽減

これらのレイヤーを組み合わせることで、LLMを活用したエクスペリエンスが進化する中でも、レジリエンス、コンプライアンス、ユーザーの信頼を維持しながら、企業はAIを拡張できます。