OWASP AI, le référentiel communautaire de la sécurité applicative LLM.
Le groupe de travail OWASP dédié à l'IA générative publie plusieurs référentiels ouverts et gratuits — dont le très utilisé Top 10 for LLM Applications — construits collectivement par des praticiens de la sécurité, sur le même modèle communautaire que l'OWASP Top 10 classique du monde web.
Un référentiel communautaire, pas institutionnel
L'OWASP (Open Worldwide Application Security Project) est une fondation à but non lucratif qui produit depuis plus de vingt ans des référentiels de sécurité applicative gratuits, écrits et maintenus par la communauté de praticiens plutôt que par un organisme de normalisation officiel. Le Top 10 OWASP classique (injection SQL, XSS, etc.) est devenu un standard de facto de l'industrie.
Face à l'essor des LLM, un groupe de travail dédié a appliqué la même méthode — consensus communautaire, priorisation par impact et fréquence réelle — pour produire des référentiels spécifiques à l'IA générative, régulièrement mis à jour à mesure que de nouveaux vecteurs d'attaque émergent.
OWASP Top 10 for LLM Applications
Le référentiel phare : les 10 risques de sécurité les plus critiques pour les applications construites autour de LLM, classés par impact et fréquence observée. Détail complet de chaque catégorie dans le panorama des menaces — résumé ici :
Les autres référentiels du groupe de travail
OWASP AI Security & Privacy Guide
Un référentiel plus large que le seul Top 10 LLM : gouvernance, vie privée et sécurité sur l'ensemble du cycle de vie IA (pas uniquement les LLM), pensé pour les équipes qui doivent structurer un programme de sécurité IA complet plutôt qu'auditer une seule application.
Guide agentique (Agentic AI security guidance)
Extension du Top 10 aux risques spécifiques des applications agentiques multi-étapes : abus d'outils, boucles de décision non supervisées, propagation de compromission entre agents dans un système multi-agents. Recoupe directement les patterns de least privilege pour les agents.
LLM Applications Cybersecurity and Governance Checklist
Une checklist opérationnelle destinée aux équipes qui déploient un LLM en production, pensée comme complément actionnable du Top 10 plutôt que comme un référentiel théorique.
Comment ce référentiel est utilisé en pratique
Le Top 10 for LLM Applications sert le plus souvent de grille d'audit : un auditeur ou une équipe interne passe en revue chaque catégorie face à l'architecture réelle du système, documente les contrôles en place, et priorise les manques selon l'impact potentiel. C'est aussi la structure la plus fréquemment reprise par l'outillage de red teaming automatisé (voir outillage) pour catégoriser les vulnérabilités détectées.