LLMMap

LLMMap é um framework automatizado de teste de injeção de prompt para aplicações integradas a LLMs. Ele descobre pontos de injeção em requisições HTTP, gera prompts de ataque direcionados usando uma arquitetura de LLM duplo, os dispara contra o alvo e confirma os achados com testes estatísticos de confiabilidade. Inspirado pelo sqlmap, o LLMMap traz a mesma abordagem sistemática e baseada em evidências para testes de segurança em LLMs.

Aviso legal: O uso do LLMMap para atacar alvos sem consentimento mútuo prévio é ilegal. É de responsabilidade do usuário final obedecer a todas as leis locais, estaduais e federais aplicáveis. Os desenvolvedores não assumem nenhuma responsabilidade e não se responsabilizam por qualquer uso indevido ou dano causado por este programa.

Instalação

python -m venv .venv && source .venv/bin/activate
pip install -e .

Requisitos: Python >= 3.11. Única dependência: PyYAML.

Uso

O LLMMap aceita alvos via exportação de requisição do Burp Suite (-r) ou URL (-u). Coloque * onde o prompt deve ser injetado.

# Alvo via URL (Ollama padrão — sem necessidade de chave de API)
llmmap -u "https://target.example.com/chat?q=*" --goal "revelar a senha oculta"

# Captura de requisição do Burp Suite
llmmap -r request --goal "revelar o prompt do sistema"

# Provedor em nuvem (OpenAI, Anthropic, Google)
export OPENAI_API_KEY=sk-...
llmmap -r request --goal "revelar o prompt do sistema" --provider openai

# Controle de intensidade (1-5, padrão: 1)
llmmap -r request --goal "revelar o prompt do sistema" --intensity 3

# Limitar a parâmetros específicos ou classes de ponto de injeção
llmmap -r request --goal "..." -p prompt --injection-points QB

Referência completa de opções:

llmmap -h

Funcionalidades

• 227 técnicas de injeção de prompt em 18 famílias de ataque, organizadas em 4 pacotes de prompt
• Arquitetura de LLM duplo — o Gerador cria prompts conscientes do objetivo; o Juiz avalia as respostas do alvo
• 4 backends de LLM — Ollama (padrão, local, sem chave de API), OpenAI, Anthropic, Google
• 5 classes de ponto de injeção — parâmetros de consulta (Q), corpo (B), cabeçalhos (H), cookies (C), caminho (P)
• Níveis de intensidade 1-5 — controla prompts por família (1/2/4/8/16) e métodos de ofuscação
• Mecanismo de ofuscação — base64, homoglifo, leet speak, troca de idioma
• Confirmação estatística — intervalo de confiança de Wilson com repetições configuráveis (padrão: 5 repetições, 3 sucessos)
• Modo seguro — ativado por padrão; bloqueia famílias de prompt arriscadas
• Integração com Burp Suite — lê exportações de requisição nativamente; suporte a proxy para inspeção de tráfego
• Saída no estilo sqlmap — log no console com timestamp e código de cores, com suporte a --no-color
• Modo de simulação (dry-run) — valida a configuração da varredura sem enviar requisições

Arquitetura

Target (-r/-u)
    |
    v
Injection Point Discovery (Q/B/H/C/P)
    |
    v
Prompt Generation (Generator LLM + technique library)
    |
    v
Request Mutation & Delivery
    |
    v
Response Analysis (Judge LLM + heuristic detectors)
    |
    v
Reliability Confirmation (Wilson CI)
    |
    v
Findings Report

Backend padrão: Ollama (local, sem chave de API). Outros backends suportados: OpenAI, Anthropic, Google.

Links

• Arquitetura
• Autorização e segurança
• Contribuição
• Changelog
• Roteiro
• Licença