Ekspertliste og hændelsesdata trækker i hver sin retning
VentureBeat beskriver, at prompt injection har ligget øverst på OWASP Top 10 for LLM‑applikationer tre år i træk. Da to ledere af OWASP‑listen sammenholdt ekspertplaceringen med 6.639 mærkede hændelser fra et større datasæt, endte prompt injection som nr. 12 i hændelsesoptællingen. Ifølge omtalen peger forskellen på synlighed frem for fare, fordi angrebet ofte befinder sig uden for det, som klassiske scannere registrerer.
VentureBeat citerer direkte pointen til beslutningstagere: En CISO, der ser få CVE’er og derefter nedprioriterer prompt injection, “læser scoreboardet forkert”. Den formulering bruges til at forklare, at lave CVE‑tællinger ikke i sig selv dokumenterer lav risiko for netop denne angrebstype.
Hvad der er publiceret ifølge omtalen
Analysen tilskrives Kyriakos “Rock” Lambros og Steve Wilson. VentureBeat skriver, at de to ledere af OWASP‑projektet bag LLM‑Top 10 publicerede arbejdet som et arXiv‑preprint den 18. august. Omtalen gør samtidig klart, at analysen er eksplorativ, ikke fagfællebedømt og ikke en officiel OWASP‑udgivelse, og at den ikke erstatter den officielle liste eller processen bag den.
Det er også VentureBeat, der refererer datagrundlaget og den statistiske sammenligning. Den officielle OWASP‑liste er, ifølge omtalen, uændret af analysen. Det er en central afgrænsning i kilden.
Datagrundlag og metode
Ifølge VentureBeat består hændelsesdatasættet af 7.714 sikkerhedshændelser for LLM‑systemer hentet fra CVE, GitHub Security Advisories, OSV og AIAAICs database over AI‑skader. 6.639 af hændelserne blev mærket mod en 20‑punkts taksonomi. Kilden beskriver, at en bayesisk model derefter korrigerede for klassifikationsfejl, før den datadrevne rangordning blev holdt op mod ekspertvurderingen.
VentureBeat refererer et svagt statistisk sammenfald mellem ekspertvurderingen (OWASP‑rangeringen) og den offentlige hændelsesregistrering. Cohen’s kappa rapporteres til 0,20 med et 90‑procents interval fra −0,16 til 0,57. Ifølge omtalen krydser intervallet nul, hvilket betyder, at enigheden kan være tilfældig. Kilden gengiver forfatternes formulering som “svag enighed, ikke bekræftelse”.
Hvorfor prompt injection kan være usynligt i scannere
VentureBeat beskriver et strukturelt hul: Prompt injection gemmer instruktioner i indhold, som en model læser. Det kan være alt fra en loglinje til en supportsag eller et dokument hentet via retrieval. En agent kan derefter udløse værktøjskald, som klassiske sårbarhedsscannere typisk ikke logger eller forbinder med en kendt produktfejl.
Det er gennem den linse, at forskellen mellem ekspertplaceringen og hændelsesplaceringen læses i omtalen. Kilden fremhæver, at lave CVE‑tællinger og komponentscans ikke nødvendigvis opfanger angreb, der primært manifesterer sig som adfærd i agent‑ eller værktøjskæder, snarere end som kendte sårbarheder i et komponentbibliotek.
Hvad tallene betyder ifølge kilden
VentureBeat refererer forfatternes konklusion om, at ekspertlisten og hændelseslisten måler forskelligt. Ekspertvurderingen prioriterer angrebsflade og risiko; hændelsesdata registrerer primært tilfælde, hvor noget faktisk gik igennem og blev rapporteret. Kilden understreger derfor, at forskellen i placering ikke skal læses som et tegn på tryghed, men som et tegn på, at målepunktet ikke ser alt.
Det fremgår også af omtalen, at forfatterne adskiller “hvad der vurderes risikabelt” fra “hvad der er synligt i offentlige data”. VentureBeat skriver eksplicit, at angrebskæden i mange tilfælde ikke vil være synlig i traditionelle værktøjer, hvilket svækker CVE‑baserede indikatorer for netop denne type trussel.
Kontekst og afgrænsninger
VentureBeat gør tydeligt, at analysen er eksplorativ, ikke fagfællebedømt og ikke en officiel OWASP‑udgivelse. Det indrammer konklusionerne som foreløbige og bundet til det konkrete datasæt, skemaet med 20 kategorier og den beskrevne statistik.
Kilden peger desuden på, at selve målingen handler om overensstemmelse mellem to rangordninger. Når kappa‑intervallet favner tal under nul, fremhæver omtalen, at man ikke kan udelukke, at enigheden er tilfældig. Det er en metodisk pointe, der — igen ifølge VentureBeat — taler for forsigtighed i læsningen.
Implikationer for prioritering ifølge omtalen
VentureBeat binder resultaterne til et praktisk råd: Et lavt CVE‑tal for prompt injection bør ikke tolkes som lav risiko. Begrundelsen er, at angrebet ofte opererer uden for scannernes synsfelt. Derfor kan dashboards, der primært bygger på CVE’er og komponent‑sårbarheder, undervurdere eksponeringen for netop denne trussel.
I den forståelse bliver forskellen mellem ekspert‑ og hændelsesplacering et signal om målemetode og rapporteringsbias. Omtalen betoner, at det ikke ændrer den officielle OWASP‑liste, men at det giver et indblik i, hvorfor enterprise‑målinger, der læner sig kraftigt op ad CVE, kan miste vigtige hændelser af syne.
Status for OWASP‑listen
VentureBeat og en sekundær omtale rapporterer, at prompt injection fortsat står som nr. 1 på OWASP Top 10 for LLM‑applikationer tre år i træk. Samtidig præciserer VentureBeat, at den nye analyse ikke er en officiel OWASP‑udgivelse og ikke ændrer den officielle liste.
Dermed står to udsagn side om side i kilderne: en vedvarende topplacering i ekspertvurderingen og en hændelsesbaseret placering som nr. 12 i det analyserede datasæt. Omtalen forklarer forskellen med synlighed og målemetode; ikke som bevis for lav risiko.
Sammenfatning på baggrund af kilderne
På baggrund af VentureBeats gennemgang og de tal, som kilden gengiver, tegner der sig et billede af svag overensstemmelse mellem ekspertlisten og den offentlige hændelsesregistrering for LLM‑trusler. Prompt injection ligger stadig øverst på OWASP‑rangeringen over tre år, men optræder længere nede i hændelsesdatasættets rangering. Ifølge omtalen er den primære forklaring, at angrebskæden ofte er usynlig for klassiske scannere og derfor ikke afspejles i CVE‑målepunkter.
Kilden fastholder de metodiske forbehold og markerer, at analysen ikke er officiel OWASP. Læringen, som VentureBeat løfter frem, er derfor begrænset til at forstå, hvad de to måder at måle på faktisk ser — og hvad de kan overse.
