LLMMap

LLMMap 是一个用于集成 LLM 的应用程序的自动化提示注入测试框架。它能发现 HTTP 请求中的注入点，利用双 LLM 架构生成针对性的攻击提示，向目标发送攻击，并通过统计可靠性测试确认发现。受 sqlmap 启发，LLMMap 将同样系统化、基于证据的方法引入到 LLM 安全测试中。

法律声明： 在未事先获得双方同意的情况下使用 LLMMap 攻击目标是违法的。最终用户有责任遵守所有适用的地方、州和联邦法律。开发者不承担任何责任，也不对因本程序引起的任何误用或损害负责。

安装

python -m venv .venv && source .venv/bin/activate
pip install -e .

要求：Python >= 3.11。唯一依赖：PyYAML。

用法

LLMMap 通过 Burp Suite 请求导出（-r）或 URL（-u）接受目标。将 * 放在希望注入提示的位置。

# URL 目标（Ollama 默认——无需 API 密钥）
llmmap -u "https://target.example.com/chat?q=*" --goal "reveal the hidden password"

# Burp Suite 请求捕获
llmmap -r request --goal "reveal the system prompt"

# 云提供商（OpenAI, Anthropic, Google）
export OPENAI_API_KEY=sk-...
llmmap -r request --goal "reveal the system prompt" --provider openai

# 强度控制（1-5，默认：1）
llmmap -r request --goal "reveal the system prompt" --intensity 3

# 限制到特定参数或注入点类别
llmmap -r request --goal "..." -p prompt --injection-points QB

完整选项参考：

llmmap -h

特性

• 227 种提示注入技术，涵盖 18 个攻击家族，组织为 4 个提示包
• 双 LLM 架构——生成器制作目标感知提示；评判器评估目标响应
• 4 个 LLM 后端——Ollama（默认，本地，无需 API 密钥）、OpenAI、Anthropic、Google
• 5 个注入点类别——查询参数（Q）、请求体（B）、请求头（H）、Cookie（C）、路径（P）
• 强度级别 1-5——控制每个家族的提示数量（1/2/4/8/16）和混淆方法
• 混淆引擎——base64、同形字、Leet 语、语言切换
• 统计确认——威尔逊置信区间，可配置重试次数（默认：5 次重试，3 次成功）
• 安全模式——默认启用；阻止有风险的提示家族
• Burp Suite 集成——原生读取请求导出；代理支持流量检查
• sqlmap 风格输出——带时间戳、彩色控制台日志，支持 --no-color
• 试运行模式——验证扫描配置而不发送请求

架构

目标 (-r/-u)
    |
    v
注入点发现 (Q/B/H/C/P)
    |
    v
提示生成 (生成器 LLM + 技术库)
    |
    v
请求变异与发送
    |
    v
响应分析 (评判器 LLM + 启发式检测器)
    |
    v
可靠性确认 (威尔逊置信区间)
    |
    v
发现报告

默认后端：Ollama（本地，无需 API 密钥）。其他支持的后端：OpenAI、Anthropic、Google。

链接

• 架构
• 授权与安全
• 贡献指南
• 变更日志
• 路线图
• 许可证