LLMアプリの危険は何から始まるか——OWASP Top 10を見る
生成AIアプリのリスクは、従来のWebアプリの脆弱性だけでは説明しきれない。LLMは自然言語の指示で動き、外部ツールやファイル、プラグイン、社内データに接続されることがある。
OWASPは「Top 10 for Large Language Model Applications」を公開している。これはLLMアプリケーションに固有の重大リスクを整理するプロジェクトで、OWASP GenAI Security Projectの中核的な成果物になっている。
先頭はプロンプトインジェクション
| 項目 | リスク |
|---|---|
| LLM01 Prompt Injection | 悪意ある入力でLLMの挙動を操る |
| LLM02 Insecure Output Handling | 出力を検証せず、下流システムで実行してしまう |
| LLM03 Training Data Poisoning | 学習データの改ざんでモデル挙動が損なわれる |
| LLM05 Supply Chain Vulnerabilities | 部品、サービス、データセットの汚染でシステム全体が弱くなる |
| LLM08 Excessive Agency | LLMに過剰な自律権限を与える |
特に重要なのは、プロンプトインジェクションと過剰な自律権限の組み合わせだ。AIエージェントにファイル読み取り、メール送信、決済、コード実行、外部API呼び出しを許すと、単なるチャットの失敗では済まない。
AIアプリは「出力」ではなく「権限」で危なくなる
LLMの回答が間違うだけなら、人間が読んで直せる。しかし、LLMの出力をそのままSQL、シェル、ブラウザ操作、業務システムのAPIに流すと、間違いが実行される。
したがってAIアプリの設計では、モデルの賢さより先に、権限の最小化、出力検証、人間承認、ログ、外部データとの分離が重要になる。AIが強くなるほど、セキュリティ設計は「プロンプトをうまく書く」から「AIに何を触らせないか」へ移る。
この記事の限界
- OWASP Top 10はリスク分類であり、個別システムの安全性を保証するチェックリストではない
- 実装時は、利用するモデル、ツール権限、外部連携、ログ保存、利用者権限ごとに脅威分析が必要
出典（2026年7月7日閲覧）: OWASP「Top 10 for Large Language Model Applications」（owasp.org）
AIコストはセキュリティ問題になる——Unbounded Consumptionを読む
OWASPのUnbounded Consumptionから、LLMアプリでコスト暴走とサービス停止を防ぐ設計を整理する。
REPORTAIエージェントに権限を渡しすぎる危険——Excessive Agencyを読む
OWASPのExcessive Agencyから、AIエージェント設計で権限を最小化すべき理由を整理する。
REPORTLLMの出力をそのまま信じてはいけない——Improper Output Handlingの実務
OWASP Top 10 for LLM Applications 2025のImproper Output Handlingから、AIアプリで出力検証が必要な理由を整理する。