LLM 安全威胁模型与防御编码模式

dev.to · AI#LLM安全#提示注入#防御编码

Editor brief · 编辑速览

系统梳理了提示注入、数据泄露、资源耗尽等 LLM 特有攻击面，提供生产级防御的编码规范和架构建议。

文章思维导图

Knowledge map

拖拽缩放

Full translation

完整中文译文

大语言模型已从研究演示走向核心生产基础设施，但其灵活性引入了传统 Web 服务很少面对的攻击面。提示词注入、敏感数据泄露和无限制的资源消耗不只是理论上的隐患，它们是实际的工程问题，需要防御性编码模式、严格的输出处理，以及在强化流水线的同时保持延迟和成本可预测的基础设施选择。

威胁模型：什么可能出错

提示词注入仍然是最受关注的 LLM 攻击向量。攻击者在用户输入或间接内容（如被要求模型总结的网页）中嵌入恶意指令。如果应用直接将这类输入传递给具有特权工具访问权限的模型，攻击者可能诱使模型泄露数据或调用函数。

敏感数据泄露是双向的。模型可能 regurgitate 训练数据或其上下文窗口中的私密信息，而糟糕的日志卫生可能暴露包含 PII 的提示词。由于 LLM 在各请求之间是无状态的，任何敏感上下文都必须被有意地注入每次调用，这增加了意外披露的概率。

不安全的输出处理发生在应用将模型响应当作可信内容时。如果不加转义直接将 LLM 输出渲染到浏览器，或将其传递到 shell 命令，你就等于给了用户间接的 XSS 或命令注入能力。

资源耗尽是一种拒绝服务风险。对抗性输入可以被精心构造以最大化计算量，过大的提示词或递归 agent 循环可能导致 token 使用量激增。在按 token 计费的平台上，这会同时降低性能并抬高成本。使用 Oxlo.ai，长安全前缀和输入清理不会增加每次请求的价格，因为推理是按请求计费而非按 token 计费。你可以在 https://oxlo.ai/pricing 查看具体结构。

架构与代码最佳实践

将 LLM 视为不可信的客户端。未经验证绝不将原始用户输入传递给模型。实现一个清理层来剥离或转义控制字符，并考虑使用允许列表来限定预期输入模式。

约束模型可以返回的内容。Oxlo.ai 支持 JSON 模式和函数调用，允许你强制执行结构化输出，并将模型限制在预定义的工具模式中。下面的示例展示了一个使用 OpenAI SDK 与 Oxlo.ai 的防御性模式，响应被锁定为 JSON 并在使用前经过验证。

import os
import openai
from pydantic import BaseModel, ValidationError

client = openai.OpenAI(
    base_url="https://api.oxlo.ai/v1",
    api_key=os.environ["OXLO_API_KEY"]
)

class SafeResponse(BaseModel):
    answer: str
    confidence: float

# 1. Validate and sanitize upstream
user_input = sanitize(request.form["query"])  # your validation logic

# 2. Call the model with constrained output
completion = client.chat.completions.create(
    model="llama-3.3-70b",
    messages=[
        {"role": "system", "content": "You are a helpful assistant. Respond only with valid JSON matching the requested schema."},
        {"role": "user", "content": user_input}
    ],
    response_format={"type": "json_object"},
    max_tokens=512
)

# 3. Parse and validate before any downstream use
try:
    parsed = SafeResponse.model_validate_json(completion.choices[0].message.content)
except ValidationError:
    raise ValueError("Model output violated the expected schema.")

如果通过函数调用暴露工具，应遵循最小权限原则。定义狭窄的参数模式，避免赋予模型访问破坏性操作的能力，除非有独立授权层批准该调用。Oxlo.ai 在其 45+ 模型目录中支持函数调用，因此你可以在高风险工具使用路径中选择更小、更快的模型，而无需更改集成代码。

始终对输出进行编码。如果在 Web UI 中渲染模型响应，需经过与处理任何用户生成内容相同的 HTML 转义例程。绝不将 LLM 输出传入 eval()、exec() 或原始 SQL 构造器。

基础设施与运营安全

你的推理提供商是你的安全边界的一部分。Oxlo.ai 完全兼容 OpenAI SDK，这意味着你可以保留现有的中间件、代理和审计日志层，而无需被供应商锁定。直接替换的兼容性降低了迁移风险，并让你能够一致地执行安全控制。

由于 Oxlo.ai 使用扁平化的按请求定价，添加防御性措施（如详细系统提示词、少样本安全示例或冗长的输入分隔符）不会改变你的单位成本。在按 token 计费的提供商那里，安全护栏中的每个额外 token 都是对安全性的税。使用 Oxlo.ai，你可以为长上下文和 agent 工作负载强化提示词，而不会收到天价账单。详情见 https://oxlo.ai/pricing。

延迟对安全控制至关重要。超时和竞态条件可能导致回退逻辑跳过验证步骤。Oxlo.ai 以无冷启动的方式提供热门模型，因此响应时间保持一致，你的防御过滤器有一个可靠的运行窗口。

最后，模型多样性本身就是一种安全控制。Oxlo.ai 托管了涵盖七大类别的模型，包括通用 LLM、代码模型和视觉模型。你可以将敏感工作负载路由到更小、可审计的模型，同时将重型推理任务保留在大型端点上，全部通过相同的 API 形状实现。

行动清单

在每个 LLM 调用的上游强制执行输入验证层。

使用系统提示词边界和分隔符来减少注入面。

启用 JSON 模式或受限输出格式以限制响应语法。

在任何渲染或执行前验证和清理每个模型响应。

使用函数调用时将工具定义范围缩小。

实现按用户速率限制和异常检测。

为提示词、补全和工具调用维护审计日志。

定期审查活跃模型和端点以消除未使用的攻击面。