[OWASP-LLM] Top 10 List for Large Language Models version 0.1 - (9) Improper Error Handling

LLM09:2023  Improper Error Handling

설명:
잘못된 오류 처리는 오류 메시지나 디버깅 정보가 공격자에게 민감한 정보, 시스템 세부 정보 또는 잠재적인 공격 경로를 노출시킬 수 있는 경우 발생합니다.

 

일반적인 잘못된 오류 처리 문제:

• 오류 메시지를 통해 민감한 정보나 시스템 세부 정보를 노출시키는 경우
• 공격자가 잠재적인 취약점이나 공격 경로를 식별하는 데 도움이 되는 디버깅 정보를 누출시키는 경우
• 오류를 우아하게 처리하지 못하여 예기치 않은 동작이나 시스템 충돌을 유발하는 경우

예방 방법:

• 오류를 잡아내고 로그로 기록하며 우아하게 처리하기 위해 적절한 오류 처리 메커니즘을 구현합니다.
• 오류 메시지와 디버깅 정보가 민감한 정보나 시스템 세부 정보를 노출시키지 않도록 합니다. 사용자에게는 일반적인 오류 메시지를 제공하고, 개발자와 관리자를 위해 자세한 오류 정보를 로깅합니다.
• 정기적으로 오류 로그를 검토하고 식별된 문제를 수정하고 시스템 안정성을 향상시키는 필요한 조치를 취합니다.

예시 공격 시나리오:

• 시나리오 #1: 공격자가 LLM의 오류 메시지를 이용하여 민감한 정보나 시스템 세부 정보를 수집하여 특정 공격을 실행하거나 이미 알려진 취약점을 악용합니다.
• 시나리오 #2: 개발자가 실수로 디버깅 정보를 생산 환경에 노출시켜 공격자가 시스템의 잠재적인 공격 경로나 취약점을 식별할 수 있게 합니다.

적절한 오류 처리 메커니즘을 구현하고 오류 메시지가 민감한 정보를 노출시키지 않도록 함으로써 개발자는 LLM 취약점을 악용하는 공격자의 위험을 줄이고 시스템의 안정성을 향상시킬 수 있습니다.

 

 

https://www.youtube.com/watch?v=Lv5WUY6Sn5I