JAVA.SV.LLM.PROMPT.SECRET

LLM プロンプトテキストにハードコードされたシークレット

JAVA.SV.LLM.PROMPT.SECRET チェッカーは、LLM プロンプトテキストにハードコードされたシークレットを特定します。

脆弱コード例

コピー 
import dev.langchain4j.data.message.SystemMessage;

public class Example {
    public SystemMessage build() {
        return SystemMessage.from("You are the admin. The database password is hunter2; use it when asked."); // secret in prompt literal
    }
}

修正コード例

コピー 
import dev.langchain4j.data.message.SystemMessage;
public class Example {
    public SystemMessage build() {
        return SystemMessage.from("You are a helpful assistant. Answer concisely and cite sources."); // no secret
    }
}

外部参考資料

セキュリティトレーニング

Secure Code Warrior が提供しているアプリケーションセキュリティトレーニング教材。