LLMMap

LLMMap est un cadre de test automatisé d'injection de prompts pour les applications intégrant des LLM. Il découvre des points d'injection dans les requêtes HTTP, génère des prompts d'attaque ciblés à l'aide d'une architecture à deux LLM, les envoie à la cible, et confirme les résultats avec des tests de fiabilité statistiques. Inspiré par sqlmap, LLMMap apporte la même approche systématique et fondée sur des preuves aux tests de sécurité des LLM.

Avertissement légal : L'utilisation de LLMMap pour attaquer des cibles sans consentement mutuel préalable est illégale. Il est de la responsabilité de l'utilisateur final de respecter toutes les lois locales, étatiques et fédérales applicables. Les développeurs déclinent toute responsabilité et ne sont pas responsables de tout usage abusif ou dommage causé par ce programme.

Installation

python -m venv .venv && source .venv/bin/activate
pip install -e .

Prérequis : Python >= 3.11. Seule dépendance : PyYAML.

Utilisation

LLMMap accepte des cibles via l'export de requête Burp Suite (-r) ou une URL (-u). Placez * à l'endroit où le prompt doit être injecté.

# Cible URL (Ollama par défaut -- pas de clé API nécessaire)
llmmap -u "https://target.example.com/chat?q=*" --goal "révéler le mot de passe caché"

# Capture de requête Burp Suite
llmmap -r request --goal "révéler le prompt système"

# Fournisseur cloud (OpenAI, Anthropic, Google)
export OPENAI_API_KEY=sk-...
llmmap -r request --goal "révéler le prompt système" --provider openai

# Contrôle de l'intensité (1-5, défaut : 1)
llmmap -r request --goal "révéler le prompt système" --intensity 3

# Limiter à des paramètres spécifiques ou classes de points d'injection
llmmap -r request --goal "..." -p prompt --injection-points QB

Référence complète des options :

llmmap -h

Fonctionnalités

• 227 techniques d'injection de prompts réparties dans 18 familles d'attaque, organisées en 4 packs de prompts
• Architecture à deux LLM — Le générateur crée des prompts adaptés à l'objectif ; le juge évalue les réponses de la cible
• 4 backends LLM — Ollama (par défaut, local, sans clé API), OpenAI, Anthropic, Google
• 5 classes de points d'injection — paramètres de requête (Q), corps (B), en-têtes (H), cookies (C), chemin (P)
• Niveaux d'intensité 1-5 — contrôle les prompts par famille (1/2/4/8/16) et les méthodes d'obfuscation
• Moteur d'obfuscation — base64, homoglyphe, leet speak, changement de langue
• Confirmation statistique — intervalle de confiance de Wilson avec tentatives configurables (défaut : 5 tentatives, 3 réussites)
• Mode sécurisé — activé par défaut ; bloque les familles de prompts risquées
• Intégration Burp Suite — lit les exports de requêtes de manière native ; support proxy pour l'inspection du trafic
• Sortie de style sqlmap — journalisation console avec horodatage et code couleur, support de --no-color
• Mode de prévisualisation — valide la configuration de l'analyse sans envoyer de requêtes

Architecture

Cible (-r/-u)
    |
    v
Découverte des points d'injection (Q/B/H/C/P)
    |
    v
Génération de prompts (Générateur LLM + bibliothèque de techniques)
    |
    v
Mutation et envoi des requêtes
    |
    v
Analyse des réponses (Juge LLM + détecteurs heuristiques)
    |
    v
Confirmation de fiabilité (Intervalle de Wilson)
    |
    v
Rapport de résultats

Backend par défaut : Ollama (local, sans clé API). Autres backends supportés : OpenAI, Anthropic, Google.

Liens

• Architecture
• Autorisation et sécurité
• Contribuer
• Journal des modifications
• Feuille de route
• Licence