LLMMap

LLMMap es una herramienta automatizada de pruebas de inyección de prompts para aplicaciones integradas con LLM. Descubre puntos de inyección en solicitudes HTTP, genera ataques prompt dirigidos usando una arquitectura de doble LLM, los lanza contra el objetivo y confirma los hallazgos con pruebas de fiabilidad estadística. Inspirado en sqlmap, LLMMap trae el mismo enfoque sistemático y basado en evidencias a las pruebas de seguridad de LLM.

Aviso legal: El uso de LLMMap para atacar objetivos sin consentimiento mutuo previo es ilegal. Es responsabilidad del usuario final cumplir con todas las leyes locales, estatales y federales aplicables. Los desarrolladores no asumen ninguna responsabilidad y no son responsables por ningún uso indebido o daño causado por este programa.

Instalación

python -m venv .venv && source .venv/bin/activate
pip install -e .

Requisitos: Python >= 3.11. Única dependencia: PyYAML.

Uso

LLMMap acepta objetivos mediante exportación de solicitudes de Burp Suite (-r) o URL (-u). Coloca * donde se debe inyectar el prompt.

# URL target (Ollama default -- no API key needed)
llmmap -u "https://target.example.com/chat?q=*" --goal "reveal the hidden password"

# Burp Suite request capture
llmmap -r request --goal "reveal the system prompt"

# Cloud provider (OpenAI, Anthropic, Google)
export OPENAI_API_KEY=sk-...
llmmap -r request --goal "reveal the system prompt" --provider openai

# Intensity control (1-5, default: 1)
llmmap -r request --goal "reveal the system prompt" --intensity 3

# Limit to specific parameters or injection point classes
llmmap -r request --goal "..." -p prompt --injection-points QB

Referencia completa de opciones:

llmmap -h

Características

• 227 técnicas de inyección de prompt distribuidas en 18 familias de ataque, organizadas en 4 paquetes de prompts
• Arquitectura de doble LLM — El Generador crea prompts conscientes del objetivo; el Juez evalúa las respuestas del objetivo
• 4 backends LLM — Ollama (por defecto, local, sin clave API), OpenAI, Anthropic, Google
• 5 clases de puntos de inyección — parámetros de consulta (Q), cuerpo (B), cabeceras (H), cookies (C), ruta (P)
• Niveles de intensidad 1-5 — controla prompts por familia (1/2/4/8/16) y métodos de ofuscación
• Motor de ofuscación — base64, homoglifo, leet speak, cambio de idioma
• Confirmación estadística — intervalo de confianza de Wilson con reintentos configurables (por defecto: 5 reintentos, 3 éxitos)
• Modo seguro — activado por defecto; bloquea familias de prompts riesgosas
• Integración con Burp Suite — lee exportaciones de solicitudes de forma nativa; soporte de proxy para inspección de tráfico
• Salida estilo sqlmap — registro de consola con marcas de tiempo y códigos de color, con soporte para --no-color
• Modo de prueba (dry-run) — valida la configuración del escaneo sin enviar solicitudes

Arquitectura

Target (-r/-u)
    |
    v
Injection Point Discovery (Q/B/H/C/P)
    |
    v
Prompt Generation (Generator LLM + technique library)
    |
    v
Request Mutation & Delivery
    |
    v
Response Analysis (Judge LLM + heuristic detectors)
    |
    v
Reliability Confirmation (Wilson CI)
    |
    v
Findings Report

Backend por defecto: Ollama (local, sin clave API). Otros backends compatibles: OpenAI, Anthropic, Google.

Enlaces

• Arquitectura
• Autorización y seguridad
• Contribuir
• Registro de cambios
• Hoja de ruta
• Licencia