从角色扮演到思维链劫持：21关攻透OWASP LLM Top10

RAT-C2
RAT-C2

船山信安

2026年7月7日 12:10
广东

在小说阅读器读本章

去阅读

OWASP LLM Top 10 安全靶场

基于 Qwen2.5-1.5B 本地大模型的实战演练平台

21 个子关卡 | Python + LLM 双重判定架构

一、项目概述

OWASP LLM Top 10 安全靶场是一个面向 AI 安全初学者和从业者的实战演练平台。项目完整覆盖 OWASP LLM Top 10 (2025 v2.0) 全部风险类别，包含 12 种提示词注入技术和 9 大 OWASP 风险类别，共计 21 个独立子关卡。

平台基于 Qwen2.5-1.5B 本地大模型，无需任何云端 API，完全离线运行。创新性地采用 \"Python 前置检测 + LLM 对话裁判 + Python 后置监督\" 三重判定架构，即使 1.5B 参数的小模型也能稳定可靠地判定通关。

每个关卡都有明确的通关条件和多种通关路径：用户既可以通过精准的攻击语句触发 Python 前置检测直接获取 Flag，也可以让 LLM 理解攻击意图后主动输出 Flag。后置检测系统实时监督 LLM 输出，自动拦截假 Flag、打码非预期方式获取的 Flag。

二、核心亮点

三、项目架构

3.1 判定流程

用户输入
  │
  ├── Python 前置检测 (3通道)
  │     1. 通关语句精确匹配
  │     2. 语义相似度 >= 80%
  │     3. 关键词命中 + 相似度 >= 50%
  │     └── 命中 --> 直接返回 Flag
  │
  └── 未命中 --> LLM 对话 (LLM知道Flag和规则)
                    │
                    └── Python 后置检测
                         ├── True Flag + 技术正确 --> 通关
                         ├── Fake Flag --> 打码 + 提示
                         └── 非预期方式 --> 打码 + 换方式

3.2 技术栈

3.3 为什么用双重判定

Qwen2.5-1.5B 仅有 15 亿参数，理解复杂指令的能力有限。传统方案让 LLM 既当运动员又当裁判——读取 30 行安全规则后判定用户是否通关——1.5B 模型根本做不到。

本项目的方案：Python 做裁判，LLM 只负责对话。前置检测用语义匹配 + 关键词命中实现毫秒级精准判定；LLM 知道每关的 Flag 和规则，在满足条件时输出；后置检测作为安全网，捕杀假 Flag、拦截非预期方式。三者互补，即使小模型也能稳定运行。

四、靶场内容

4.1 LLM01：提示词注入（12 关）

提示词注入是 OWASP LLM Top 10 中最核心的风险。攻击者通过精心构造的自然语言输入，绕过模型的安全限制。本靶场拆分为 12 种独立攻击技术，从入门到精通层层递进。

4.2 LLM02-10：九大 OWASP 风险类别

五、核心技术：语义相似度判定

前置检测的核心是语义相似度计算。使用 paraphrase-multilingual-MiniLM-L12-v2 多语言嵌入模型，将用户输入和已知通关语句编码为向量，计算余弦相似度。

3 条前置通道：

• 通道 1 - 精确匹配：用户输入与通关语句逐字完全一致，直接通关
• 通道 2 - 高相似度：语义相似度 >= 80%，说明用户理解了攻击原理
• 通道 3 - 关键词+中等相似度：命中核心关键词 AND 相似度 >= 50%，防止误判

每关的 absolute\_keywords（15-20 个多语言关键词）和 complete\_pass\_phrases（5-9 条通关语句）是判定数据库的核心，覆盖中英日等多种语言。

六、后置监督机制

后置检测在每轮 LLM 回复后自动运行，承担三重监督职责：

6.1 假 Flag 捕杀

Qwen 1.5B 有时会编造一个看起来像 Flag 的字符串（如 flag{your\_secret\_message\_here}），而非真正的 Flag。后置检测用正则匹配所有 flag{...} 模式，与真 Flag 比对——不匹配的全部替换为 [假暗号已隐藏] 并给出提示。

6.2 非预期方式拦截

即使用户通过角色扮演在 LLM01-2（安全限制覆盖）关卡拿到了 Flag，后置检测发现用户输入不含该关的核心关键词（如 DAN/ignore/覆盖），会立即将 Flag 打码替换为 [暗号已隐藏]，并提示用户换正确的攻击方式。

6.3 特定关卡状态校验

部分关卡需要特定状态才能通过。如 LLM03 需要插件已触发，LLM04 需要投毒成功，LLM07 需要进入管理员模式。后置检测会验证这些状态——LLM 在未满足条件时输出 Flag 一律拦截。

七、部署指南

7.1 环境要求

Qwen2.5-1.5B 在 CPU 上每轮对话约 20-60 秒。内存低于 8GB 会显著变慢。

7.2 Docker 一键启动

# 1. 拉取镜像（首次约 6.4GB，耐心等待）
docker pull siaadh1/llm-security-range:latest

# 2. 用下载的镜像启动一个名叫 ai-lab 的容器
docker run -d --name ai-lab -p 5000:5000 --restart unless-stopped siaadh1/llm-security-range:latest

# 3. 日志查看
docker logs -f ai-lab    # 等待出现 \"Running on http://0.0.0.0:5000\"

7.3 源码构建

git clone https://github.com/Jack-MRJ/owasp-llm-top10-2025-v2.0--lab.git
cd owasp-llm-top10-lab

大缓存说明：

• qwen-model/ — Qwen2.5-1.5B（~2.9GB）
• st-model/ — 语义模型（~500MB）
• pip-cache/ — 离线依赖包（~1GB）

docker build --no-cache -t ai-security-range .
docker run -d --name ai-lab -p 5000:5000 --restart unless-stopped ai-security-range
docker logs -f ai-lab

OWASP LLM Top 10 v1.0 | 仅供安全研究和教育培训使用