LLMMap

LLMMap è un framework automatizzato di test di iniezione di prompt per applicazioni integrate con LLM. Scopre punti di iniezione nelle richieste HTTP, genera attacchi mirati utilizzando un'architettura a doppio LLM, li invia al target e conferma i risultati con test statistici di affidabilità. Ispirato da sqlmap, LLMMap porta lo stesso approccio sistematico e basato su evidenze ai test di sicurezza per LLM.

Disclaimer legale: L'uso di LLMMap per attaccare target senza previo consenso reciproco è illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. Gli sviluppatori non assumono alcuna responsabilità e non sono responsabili per qualsiasi uso improprio o danno causato da questo programma.

Installazione

python -m venv .venv && source .venv/bin/activate
pip install -e .

Requisiti: Python >= 3.11. Unica dipendenza: PyYAML.

Utilizzo

LLMMap accetta target tramite esportazione di richieste Burp Suite (-r) o URL (-u). Inserisci * dove deve essere iniettato il prompt.

# URL target (predefinito Ollama -- nessuna chiave API richiesta)
llmmap -u "https://target.example.com/chat?q=*" --goal "rivela la password nascosta"

# Cattura richiesta Burp Suite
llmmap -r request --goal "rivela il prompt di sistema"

# Provider cloud (OpenAI, Anthropic, Google)
export OPENAI_API_KEY=sk-...
llmmap -r request --goal "rivela il prompt di sistema" --provider openai

# Controllo dell'intensità (1-5, predefinito: 1)
llmmap -r request --goal "rivela il prompt di sistema" --intensity 3

# Limita a parametri specifici o classi di punti di iniezione
llmmap -r request --goal "..." -p prompt --injection-points QB

Riferimento completo alle opzioni:

llmmap -h

Caratteristiche

• 227 tecniche di iniezione di prompt in 18 famiglie di attacco, organizzate in 4 pacchetti di prompt
• Architettura a doppio LLM — Il generatore crea prompt mirati all'obiettivo; il Giudice valuta le risposte del target
• 4 backend LLM — Ollama (predefinito, locale, nessuna chiave API), OpenAI, Anthropic, Google
• 5 classi di punti di iniezione — parametri di query (Q), corpo (B), intestazioni (H), cookie (C), percorso (P)
• Livelli di intensità 1-5 — controlla i prompt per famiglia (1/2/4/8/16) e metodi di offuscamento
• Motore di offuscamento — base64, omoglifi, leet speak, cambio lingua
• Conferma statistica — intervallo di confidenza di Wilson con tentativi configurabili (predefinito: 5 tentativi, 3 successi)
• Modalità sicura — attivata per impostazione predefinita; blocca le famiglie di prompt rischiose
• Integrazione Burp Suite — legge le esportazioni di richieste in modo nativo; supporto proxy per l'ispezione del traffico
• Output stile sqlmap — logging timestampato e colorato nella console con supporto --no-color
• Modalità dry-run — convalida la configurazione della scansione senza inviare richieste

Architettura

Target (-r/-u)
    |
    v
Scoperta punti di iniezione (Q/B/H/C/P)
    |
    v
Generazione prompt (Generator LLM + libreria di tecniche)
    |
    v
Mutazione e invio richiesta
    |
    v
Analisi risposta (Judge LLM + rilevatori euristici)
    |
    v
Conferma affidabilità (Wilson CI)
    |
    v
Report risultati

Backend predefinito: Ollama (locale, nessuna chiave API). Altri backend supportati: OpenAI, Anthropic, Google.

Collegamenti

• Architettura
• Autorizzazione e sicurezza
• Come contribuire
• Registro delle modifiche
• Tabella di marcia
• Licenza