结论先说：给大模型应用做威胁建模，最实用的方法是把经典 STRIDE 改编成 LLM 版：先画出“用户 → 应用 → 模型 → 检索/工具 → 外部系统”的数据流图，标出每一条信任边界（尤其是“外部内容进入模型上下文”这一条），再按 STRIDE 六类逐一找威胁，用“可能性 × 影响 × 可达性”打分排优先级。越狱和提示词注入主要落在 S、I、E 三类。本文给出熊猫出海整理的模板、对照表和风险计算器。
安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。
一、为什么 LLM 应用要单独做威胁建模
1.1 传统模型漏掉的那条边界
传统 Web 应用里，代码和数据是分开的；而在 LLM 应用里，网页、邮件、PDF、工具返回值都会进入同一个上下文，模型可能把“数据”当成“指令”执行。这正是 OWASP LLM01 提示词注入 的根因，原理见 越狱提示词为什么有效。
1.2 可以借用的公开框架
STRIDE 来自微软的威胁建模方法（参见 Microsoft Threat Modeling Tool 威胁类别）；针对 AI 的攻击战术与技术可对照 MITRE ATLAS；风险治理可对齐 NIST AI RMF 1.0 的 Map/Measure/Manage 功能。
二、第一步：画 LLM 数据流图并标信任边界
2.1 最少要画出的 7 个元素（熊猫出海方法框架）
- 终端用户与身份系统；
- 应用后端（含系统提示词与会话存储）；
- 模型（自建开源权重或云 API）；
- 检索源：知识库、向量库、实时网页；
- 工具/插件/MCP 服务器；
- 下游系统：订单、CRM、邮件、支付；
- 日志与监控。
2.2 三条必须标红的信任边界
- B1 用户输入 → 模型：直接注入与越狱；
- B2 外部内容 → 模型上下文：间接注入（最容易被忽略）；
- B3 模型输出 → 工具/下游系统：越权调用、不当输出处理（OWASP LLM05/LLM06）。
三、第二步：LLM 版 STRIDE 对照表（可引用）
| STRIDE 类别 | LLM 应用中的典型威胁 | 首选控制措施 |
|---|---|---|
| S 仿冒（Spoofing） | 攻击者在文档/网页中伪装成“系统”或“管理员”发指令 | 指令与数据分离；外部内容标注来源；授权只认后端身份 |
| T 篡改（Tampering） | RAG 知识库、向量库或微调数据被投毒 | 数据来源白名单；写入审批；检索日志 |
| R 抵赖（Repudiation） | Agent 执行了操作却无法追溯是谁、因哪条输入触发 | 全链路日志：输入、检索片段、工具调用、输出 |
| I 信息泄露（Information disclosure） | 系统提示词、其他用户数据、密钥被套出 | 系统提示不放秘密；输出 PII 检测；租户隔离 |
| D 拒绝服务（Denial of service） | 超长输入、递归工具调用、刷接口耗尽预算 | 长度上限、限流、调用配额与预算告警 |
| E 权限提升（Elevation of privilege） | 越狱或间接注入让模型调用超出用户权限的工具 | 工具最小权限；高风险操作人工确认；后端二次鉴权 |
熊猫出海方法框架：在 STRIDE 原有六类基础上映射到 LLM 场景；对应风险可交叉参考 OWASP LLM Top 10 中文清单 与 MITRE ATLAS 中的 Prompt Injection、LLM Jailbreak 等技术条目。
四、第三步：风险打分与排序
4.1 打分公式（熊猫出海方法框架）
风险分 = 可能性（1–5）× 影响（1–5）× 可达性系数。可达性系数：只有内部员工能触达 = 0.6；登录用户可触达 = 0.8；匿名公网用户或外部内容可触达 = 1.0。分数 ≥ 15 列为上线阻断项，8–14 列入本迭代，< 8 进入待办。
4.2 风险计算器
LLM 威胁风险计算器（浏览器本地计算，不上传数据）
公式与阈值为熊猫出海方法框架，仅供排序参考。
五、威胁建模工作坊模板（90 分钟）
| 时段 | 内容 | 产出 |
|---|---|---|
| 0–15 分钟 | 确认范围：哪个 AI 功能、哪些用户、哪些工具 | 范围说明 |
| 15–35 分钟 | 画数据流图并标 B1/B2/B3 | DFD 草图 |
| 35–65 分钟 | 逐类 STRIDE 头脑风暴 | 威胁清单 |
| 65–80 分钟 | 按公式打分 | 排序后的风险表 |
| 80–90 分钟 | 指定负责人与验证方式（红队用例） | 行动项 |
熊猫出海方法框架。验证方式建议写成可回归的测试用例，见 越狱/注入测试用例设计与 ASR 指标。
标注“熊猫出海方法框架”的模型、模板与权重为熊猫出海原创整理，用于内部评估与客户咨询，不是行业标准或认证；引用时请注明出处。
六、威胁建模完成度评分器
威胁建模完成度（勾选已做到的项，浏览器本地计分，不上传数据）
七、常见问题（FAQ）
7.1 威胁建模多久做一次？
建议新 AI 功能上线前做一次；接入新工具、换模型或开放给匿名用户时重做。
7.2 一定要用 STRIDE 吗？
不一定，也可用 MITRE ATLAS 的战术视角；STRIDE 的好处是研发团队熟悉、上手快。
7.3 小团队没有安全工程师能做吗？
可以按本文 90 分钟模板先做，重点放在 B2、B3 两条边界。
7.4 能请熊猫出海主持工作坊吗？
可以，形式与报价请向熊猫出海确认。
延伸阅读：AI大模型破甲防护清单、AI Agent 提示词注入防护清单、OWASP LLM Top 10 中文清单；术语见出海广告与 AI 术语表，模型对比见四大模型越狱防护横评。
八、熊猫出海 AI大模型安全防护服务
熊猫出海（香港）除海外广告开户与代投、GEO/AI 搜索优化、多语言网站外，也提供AI大模型安全防护服务：梳理 AI 客服、智能体与 RAG 应用的攻击面，帮你选型并部署输入/输出护栏（如 Llama Guard、NeMo Guardrails 或云厂商护栏），对照 OWASP LLM Top 10 做上线前评估与红队回归。具体报价与交付范围请向熊猫出海确认，欢迎访问熊猫出海官网联系我们。
最后更新：2026-10-24
引用本页：熊猫出海 pandawm.com《大模型应用威胁建模怎么做？LLM 版 STRIDE 威胁建模模板：数据流图、信任边界、提示词注入与越狱风险打分（熊猫出海方法框架，附风险计算器，2026）》，https://www.pandawm.com/blog/llm-application-threat-modeling-stride-template.html
微信扫一扫打赏
支付宝扫一扫打赏
