JAVA.SV.LLM.APIKEY.HC

脆弱性とリスク

ハードコードされた API キーは、ソース管理、ログ、ビルド成果物、またはコピーされたバイナリを通じて漏洩する可能性があります。攻撃者がこのキーを入手した場合、不正なリクエストを行ったり、保護されている LLM サービスにアクセスしたり、予期せぬ利用料金を発生させたりする可能性があります。

軽減と防止

アプリケーションのソースコードに API キーをハードコードしないでください。シークレットは、環境変数、シークレット管理サービス、またはアプリケーションコードにコミットされないデプロイメント固有の構成など、安全なソースから読み込みます。

脆弱コード例 1

1
2
3
4
5
6
7
import com.google.genai.Client;

public class Example {
    public Client create() {
        return Client.builder().apiKey("sk-hardcoded-1234567890abcdef").build(); // hardcoded key
    }
}

API キーがソースコードに直接埋め込まれているため、Klocwork は 5 行目でJAVA.SV.LLM.APIKEY.HC の欠陥を報告しています。

修正コード例 1

1
2
3
4
5
6
7
import com.google.genai.Client;

public class Example {
    public Client create() {
        return Client.builder().apiKey(System.getenv("GOOGLE_API_KEY")).build(); // key from environment
    }
}

この修正例では、API キーがハードコードされるのではなく環境変数から読み取られるため、Klocwork は JAVA.SV.LLM.APIKEY.HC の欠陥を報告しなくなります。

外部参考資料

• LLM アプリケーション向け OWASP トップ 10: LLM02 機密情報の漏洩
• CWE-798: ハードコードされた資格情報の使用

拡張機能

このチェッカーは、Klocwork ナレッジベースを利用した拡張はできません。