OWASP Top 10 para LLM: os 10 riscos de aplicações com IA
A OWASP, referência mundial em segurança de aplicações, mantém uma lista própria para sistemas com modelos de linguagem. Aqui estão os 10 riscos da versão 2025, em português, cada um com o controle que responde a ele.
LLM01:2025
Injeção de prompt (Prompt Injection)
Risco: Texto do usuário ou de conteúdo externo altera o comportamento do modelo.
Controle: Menor privilégio para o modelo, confirmação humana para ações com impacto e conteúdo externo tratado como não confiável.
Guia completoLLM02:2025
Divulgação de informação sensível (Sensitive Information Disclosure)
Risco: O modelo revela dado pessoal, segredo comercial ou dado de outro cliente.
Controle: Minimizar o que o modelo recebe, isolar dados por usuário e filtrar a saída.
LLM03:2025
Cadeia de suprimentos (Supply Chain)
Risco: Modelo, biblioteca, plugin ou conjunto de dados de terceiros comprometido ou vulnerável.
Controle: Inventário de componentes, origem verificada e atualização controlada.
LLM04:2025
Envenenamento de dados e do modelo (Data and Model Poisoning)
Risco: Dados de treino, ajuste fino ou da base de conhecimento manipulados para mudar o comportamento.
Controle: Controle de quem escreve nas fontes, revisão do que entra e monitoramento de desvios.
LLM05:2025
Tratamento inadequado da saída (Improper Output Handling)
Risco: A resposta do modelo é usada como HTML, consulta ou comando sem validação.
Controle: Tratar a saída do modelo como entrada de usuário: validar, escapar e parametrizar.
LLM06:2025
Agência excessiva (Excessive Agency)
Risco: O agente tem mais ferramentas, permissões ou autonomia do que a tarefa precisa.
Controle: Poucas ferramentas, escopo mínimo, permissão do próprio usuário e aprovação humana.
LLM07:2025
Vazamento do prompt de sistema (System Prompt Leakage)
Risco: Instruções internas são reveladas, e com elas regras, nomes de ferramentas ou até credenciais.
Controle: Nunca colocar segredo ou regra de autorização no prompt; o controle fica no servidor.
LLM08:2025
Fraquezas em vetores e embeddings (Vector and Embedding Weaknesses)
Risco: No RAG, a busca devolve documentos que o usuário não deveria ver, ou conteúdo plantado.
Controle: Controle de acesso aplicado na busca vetorial, separação por cliente e validação das fontes.
LLM09:2025
Desinformação (Misinformation)
Risco: Respostas falsas ditas com confiança levam a decisão errada, dano ao cliente ou responsabilidade legal.
Controle: Respostas ancoradas em fontes, aviso claro ao usuário e revisão humana onde o erro custa caro.
LLM10:2025
Consumo sem limite (Unbounded Consumption)
Risco: Uso abusivo derruba o serviço ou gera fatura alta de API.
Controle: Limite por usuário e por IP, teto de gasto no provedor e alertas de consumo.
Fonte: OWASP Top 10 for LLM Applications 2025. Nomes em português são tradução livre da Sovereign Tech.
Por onde começar
Nem todo item pesa igual para todo produto. Um chatbot de dúvidas públicas se preocupa com LLM01, LLM09 e LLM10. Um agente que executa ações em nome do cliente precisa olhar LLM01, LLM02, LLM05 e LLM06 primeiro. Uma busca interna com RAG vive em LLM02 e LLM08.
Dois riscos aparecem já na superfície pública: chave de provedor exposta no navegador e chamadas diretas ao LLM sem limite, ligadas a LLM02 e LLM10. O verificador gratuito procura os dois. O restante só aparece num pentest de IA.
Perguntas frequentes
Dúvidas comuns sobre o OWASP Top 10 para LLM.
Quer o laudo mapeado nos 10 itens?
Testamos sua aplicação com IA item a item e entregamos evidência, correção e reteste. Diagnóstico gratuito de 20 minutos.