LLM 安全和机器人攻击：实用的测试计划

您想阻止哪种攻击？

LLM 安全性涵盖了模型周围的应用程序及其响应。提示注入尝试使不受信任的输入充当指令。机器人滥用利用自动化来滥用工作流程，可能没有任何特殊提示。同一应用程序可以同时遇到这两种情况，但捕获可疑语言的控件不一定会阻止重复的看似合法的请求。

OWASP 的自动化威胁项目明确包括滥用有效应用程序功能。其法学硕士风险指南将过度推理描述为导致服务退化和经济损失的途径。在对事件进行分类时使用这些区别：在确定问题是否属于模型行为、帐户访问、授权或资源管理之前，确定受影响的资产和结果。

证据： OWASP 对 Web 应用程序的自动威胁 [1]LLM10:2025 无界消费 [2]

选择扫描仪之前写下测试边界

对于 Rubrex 提出的评估工作流程，请命名应用程序版本、环境、入口点、模型配置、检索源和启用的工具。确定每个受保护资源的所有者。为绝对不会发生的结果写一个句子，例如支持用户看到另一个租户的票证或只读助理发送消息。

使用具有合成帐户、文档和工具目标的测试环境。与系统所有者就请求上限、支出上限、执行窗口和停止条件达成一致。配置较低的配额可以在不产生流量泛滥的情况下执行强制措施。保留一小组普通客户任务作为对照，并记录起始数据状态，以便可以重置以后的试验。这是一个应用程序测试计划，不是扫描无关服务的权限。

针对实际工具权限测试提示注入

OWASP 建议将基于模型的护栏视为与受限工具、验证和最小特权并列的一层。其过度代理指导将授权置于下游系统中，而不是让模型来决定是否允许某项操作。强指令是有用的上下文，但它不能替代权限检查。

在说明性支持测试中，合成检索的注释要求助手更改票证的所有者，即使用户仅请求摘要。用仪器化测试实现替换实时写入工具。记录模型是否请求写入、工具边界是否允许以及是否有任何记录更改。模型拒绝和工具请求被拒绝是不同的观察结果；保留两者。

然后通过授权测试帐户提交合法更新。如果提议的修复阻止每次更新，则它更改了产品合同，而不是展示了可用的保护。对于需要批准的操作，请验证批准的目标和参数是否已执行，并且更改它们需要新的决策。

证据： 法学硕士即时注射预防备忘单 [3]LLM06:2025 过度代理 [4]

在创建模型或工具成本之前控制机器人滥用

OWASP 的 API 资源消耗指南要求对工作负载和第三方支出进行明确限制。对于 LLM 申请，评估完整任务的成本，包括检索、模型调用、工具操作和重试。如果一个接受的请求可以触发无限的下游工作，那么限制传入请求的数量是不够的。

Rubrex 建议记录单独的准入限制和执行限制。入院时，将请求与经过验证的帐户或租户关联起来，并检查其津贴。在执行期间，限制输入大小、输出预算、并发工作、工具步骤和重试尝试。应用截止日期并定义取消对于已经排队或发送给提供商的工作意味着什么。在可能的情况下使用提供商支出控制措施；单独的账单提醒并不能停止消费。

作为说明性算术检查，如果测试策略允许每个任务进行 3 次模型调用并且每次调用最多重试两次，则预算必须允许最多 9 次尝试的模型调用。这不是推荐的生产设置或成本估算。这是一种发现每个请求配额与应用程序实际可以安排的工作之间不匹配的方法。分别包括检索和外部工具预算。

证据： API4:2023 无限制的资源消耗 [5]LLM10:2025 无界消费 [2]

执行示例：配额竞赛、修复和重新测试

我们于 2026 年 10 月 3 日执行了链接的无模型 Node.js 固定装置。它使用两个并发请求和一个合成单元的配额。在易受攻击的情况下，屏障会迫使两个请求在任一请求继续之前达到相同的暂停。没有出站请求、真实用户记录、付费模型调用或现场目标；提供者调用由内存中的存根进行计数。

在易受攻击的版本中，每个请求都会检查剩余的配额，等待屏障，然后递减。两者都通过了检查：两个被接纳，发生两个存根呼叫，并且剩余限额变为-1。在固定版本中，请求在第一次等待之前同步保留其单元。在存根之前仅接受一个请求，而另一个请求被拒绝；剩余津贴为零。

下载脚本并使用 Node.js 22 运行 nodequota-race-demo.mjs。 它打印四个场景；结果记录包含观察到的输出、运行时间、日期和确切脚本的 SHA-256 哈希值。零预算控制拒绝了这两个要求；充足预算控制承认两者。这些控制措施会检查修复是否只是阻止每个请求。

这演示了一个调度缺陷和一个单进程修复。它不是分布式配额实现：同步 JavaScript 无法跨工作线程或副本序列化请求。生产准入需要共享存储中的原子保留、重试的幂等性以及完成或取消时的显式协调。可变成本模型请求还需要保守的预留和最终的使用调整。单独验证这些行为；该装置不测试租户隔离、提示注入或 Rubrex 生产基础设施。

• 下载可运行的配额竞赛固定装置 (Node.js)
• 下载记录的执行和脚本哈希（JSON）

具有可观察到的通过条件的小型测试集

以下案例是建议的起始工作表，不是 Rubrex 客户的结果或完全覆盖的声明。将示例边界替换为产品的书面合同。在运行每个案例之前记录预期结果，并在之后引用证据。

对于配额测试，请在隔离环境中故意配置较小的限额并保持较低的请求量。对于权限测试，请使用两个合成租户和独特的非敏感标记。对于重试测试，在假工具完成其操作后模拟确认失败。这些固定装置使检查边界成为可能，而无需依赖实际停电、真实客户数据或破坏性副作用。

将数据访问与模型判断分开

OWASP 的对象级授权指南要求检查经过身份验证的调用者访问的记录。将该原则应用于助理使用的数据源：有效登录并不意味着对每个文档、缓存答案或工具结果的权限。检索应使用调用者允许的范围，下游操作应在访问受保护对象时再次验证该范围。

对于两个租户的示例，在每个租户的测试材料中放置不同的无害标记。运用应用程序支持的文档和对话路径，然后检查返回的内容和相关的访问决策。在其他租户填充缓存后重复此操作。记录测试了哪些路径；一次成功的隔离检查并不能确定每个检索或存储路径都是隔离的。

证据： API1:2023 损坏的对象级授权 [6]

将发现结果转化为可验证的解决方案

一个有用的发现解释了预期的结果、发生的情况、为什么重要以及哪些证据支持结论。将系统版本、测试用例、帐户角色、配置、观察状态和运行标识符放在一起。将模型产生的怀疑与再现的边界故障分开。使用可触及的数据或操作来描述影响，而不是提示中的戏剧性措辞。

对于示例性配额发现，预期结果是在提供商调用之前被拒绝。观察到的故障可能是帐户限额用完后记录的提供商呼叫。候选人可以在录取前保留津贴。重新测试应包括原始案例、围绕最终配额的受控并发性以及具有足够配额的合法请求。记录结果是否已修复、部分修复、未复制或未经测试；这些标签不可互换。

一起衡量保护和产品可用性

对于评估读数，报告边界违规、拒绝的请求、不完整的任务、对合法案例的错误阻止以及资源使用。说明每个费率背后的案件数量和类型。保留基线和候选之间的配置差异。总分可以隐藏测试旨在防止的一项未经授权的操作。

对于正在进行的操作，决定谁接收警报以及他们可以更改什么。有用的应对措施可能是暂停昂贵的工具、减少租户的津贴或暂时要求对敏感路径进行审查。保持调查记录的访问控制，并避免将完整的客户对话复制到通用警报通道中。确认事件后，添加经过清理的回归案例，并在模型、提示、检索或工具更改后再次检查相关边界。

常见问题