AI 资源库 · 已整理 3 项
查看与OWASP相关的 AI 资讯、工具、Skill、工作流和开源项目。
AI 编程智能体在写接口时，常常只检查“用户登录了吗”，却不检查“这条数据是不是他的”。比如让它写一个按编号查发票的接口，它会验证登录、查不到就返回 404，看起来都对，但任何人只要改一下 URL 里的编号，就能看到别家公司的发票。问题在于“发票属于某个组织、用户只能看自己组织的发票”这条规则存在于产品设计里，代码和提示词里都没写，所以智能体不知道要加。这类问题叫越权访问（BOLA/IDOR），在 OWASP Top 10 中排第一，传统扫描工具因为没有固定特征可匹配，很难自动发现，目前仍主要靠懂产品的人人工审查，或在查询条件里补上组织范围来修复。
提供的材料未提及具体可用工具。
OWASP-Benchmark/BenchmarkJava · OWASP Benchmark is a test suite designed to verify the speed and accuracy of software vulnerability detection tools. A fully runnable web app written in Java, it supports analysis by Static (SAST), Dynamic (DAST), and Runtime (IAST) tools that support Java. The idea is that since it is fully runnable and all the vulnerabilities are actually exploitable, it’s a fair test for any kind of vulnerability detection tool. For more details on this project, please see the OWASP Benchmark Project home page.
OWASP Benchmark for Java 是 OWASP Benchmark 项目的 Java 测试套件，用于验证软件漏洞检测工具的速度和准确率。它是一个完全可运行的 Java Web 应用，支持 SAST、DAST（如 ZAP）和 IAST 等应用安全测试工具对其进行分析。项目刻意包含的可被利用漏洞会参与评分，因此对各类漏洞检测工具构成相对公平的测试；项目还包含针对多种开源与商业 AST 工具的评分卡生成器，支持的工具集合持续增长，该评分能力由 BenchmarkUtils 项目实现。项目文档位于 OWASP Benchmark 项目页面。
SasanLabs/LLMForge · LLMForge is probably the most modern AI vulnerability lab for OWASP VulnerableApp — real-LLM-backed labs for prompt injection, LLM-orchestrated BOLA, and RAG attacks.
LLMForge 是 OWASP VulnerableApp 的 AI/LLM 漏洞模块，是一个故意存在漏洞的 FastAPI 应用，接入现有的 VulnerableApp-facade 生态，提供针对本地真实 LLM（通过 Ollama 运行）的攻防实验套件，而非模拟响应。它覆盖多个渐进难度的实验：提示注入（10 关，目标是提取系统提示中的隐藏密钥）、间接提示注入（4 关，外部内容中的隐藏指令）、LLM 编排导致的 BOLA（医疗聊天机器人，3 关）、RAG 上下文投毒（3 关）与 RAG 敏感数据泄露（4 关）。每个关卡通过声明式装饰器框架定义并标注已知攻击向量与载荷，用于自动生成关卡 UI 和与 facade 兼容的漏洞清单。项目定位为教育与防御性安全研究。