OWASP Top 10 per le Applicazioni LLM: le 10 Vulnerabilità più Critiche dell'AI Generativa

Con la diffusione dei chatbot, degli assistenti virtuali e dei sistemi basati su Large Language Model (LLM), sono nate anche nuove categorie di rischio informatico, diverse da quelle delle applicazioni web tradizionali. Per aiutare sviluppatori e team di sicurezza a orientarsi, la community OWASP ha pubblicato una guida dedicata: la OWASP Top 10 for LLM Applications, disponibile su genai.owasp.org.

🌐 1) Cos'è il progetto OWASP

L'OWASP (Open Worldwide Application Security Project) è una fondazione no-profit internazionale, nata nel 2001, il cui obiettivo è migliorare la sicurezza del software attraverso progetti open source, documentazione gratuita, strumenti e community locali sparse in tutto il mondo. È conosciuta soprattutto per la storica OWASP Top 10 delle vulnerabilità web (come SQL Injection e Cross-Site Scripting), diventata uno standard di riferimento per aziende, sviluppatori e auditor di sicurezza.

Con la crescita dell'Intelligenza Artificiale Generativa, OWASP ha avviato il Gen AI Security Project, un ramo dedicato specificamente ai rischi introdotti dai modelli linguistici e dalle applicazioni che li integrano. Il progetto è mantenuto da centinaia di esperti volontari (ricercatori di sicurezza, data scientist, sviluppatori) e i contenuti sono completamente gratuiti e open source.

🔑 2) A cosa serve la LLM Top 10

La OWASP Top 10 for LLM Applications elenca le 10 vulnerabilità più critiche e ricorrenti nelle applicazioni che usano modelli linguistici, con l'obiettivo di aiutare chi sviluppa chatbot, agenti AI o sistemi RAG a progettare, testare e mettere in produzione soluzioni più sicure. Per ogni vulnerabilità la guida descrive lo scenario di attacco, esempi pratici e le contromisure consigliate, in modo simile a quanto fa da anni la Top 10 classica per le applicazioni web.

⚠️ 3) Le 10 vulnerabilità (edizione 2025)

Ecco l'elenco ufficiale, con una spiegazione molto breve per ciascuna:

1. LLM01: Prompt Injection – un utente (o un contenuto esterno) inserisce istruzioni nascoste nel prompt che alterano il comportamento previsto del modello, aggirando le regole di sistema.
2. LLM02: Sensitive Information Disclosure – il modello espone, nelle risposte, dati riservati o confidenziali (propri o dell'utente), mettendo a rischio persone e organizzazioni.
3. LLM03: Supply Chain – l'intera catena di fornitura dell'LLM (modelli pre-addestrati, plugin, dataset, librerie di terze parti) può introdurre vulnerabilità se non viene verificata e gestita correttamente.
4. LLM04: Data and Model Poisoning – alterazione dolosa dei dati di addestramento, fine-tuning o embedding, per compromettere l'integrità, le risposte o il comportamento del modello.
5. LLM05: Improper Output Handling – validazione e sanificazione insufficienti dell'output generato dal modello prima di usarlo in altri sistemi, con rischio di injection a valle (es. XSS, SQL Injection).
6. LLM06: Excessive Agency – al sistema basato su LLM vengono concessi permessi, funzioni o autonomia decisionale eccessivi rispetto a quanto realmente necessario.
7. LLM07: System Prompt Leakage – divulgazione non autorizzata del system prompt, ovvero le istruzioni interne che definiscono regole, limiti e comportamento del modello.
8. LLM08: Vector and Embedding Weaknesses – debolezze nella gestione di vettori ed embedding (tipici dei sistemi RAG) che possono portare a fughe di dati o manipolazione dei risultati.
9. LLM09: Misinformation – il modello genera informazioni false o fuorvianti ma presentate con sicurezza (le cosiddette "allucinazioni"), minando l'affidabilità dell'applicazione.
10. LLM10: Unbounded Consumption – utilizzo incontrollato di risorse (chiamate al modello, token, costi) senza limiti o monitoraggio adeguati, con rischio di abusi e costi fuori controllo.

🛡️ 4) Come usare questa guida

Il consiglio di OWASP è di trattare questa lista come una checklist di sicurezza durante la progettazione e lo sviluppo di ogni sistema basato su LLM: dal semplice chatbot di supporto clienti agli agenti AI autonomi che eseguono azioni per conto dell'utente. Ogni voce della Top 10 è accompagnata, sul sito ufficiale, da esempi di attacco reali e mitigazioni concrete, come la separazione netta tra istruzioni di sistema e input dell'utente, il rate limiting, il monitoraggio degli output e il principio del minimo privilegio per gli agenti AI.

Fonte ufficiale: genai.owasp.org/llm-top-10
Progetto: OWASP Gen AI Security Project
Licenza: gratuita, open source

In fondo alla pagina trovi il PDF riassuntivo con le 10 vulnerabilità, pronto da scaricare e consultare offline.