Skip to content

DVLAA 1.0.2

Latest
Latest

Choose a tag to compare

View all tags
@Tcotl Tcotl released this 02 Sep 13:09
· 5 commits to main since this release
v1.0.2
dffdeb9

DVLAA 1.0.2

面向大模型与智能体应用安全学习的中文漏洞靶场。五赛道共 81 道本地题目，Flask 单体应用 + 产品仿真模拟目标，开箱即用。

赛道构成

  • OWASP LLM Top 10（24 题）：提示词注入含 12 个子关卡，覆盖敏感信息泄露、供应链、投毒、输出处理、过度代理、系统提示词泄露、向量弱点、虚假信息与资源消耗。
  • Agent 应用安全 Top 10（ASI01-10）：模拟业务系统实验室，工具命令交互 + 含修复设计的题解。
  • AI 综合攻防（11 题）：独立会话、本地判定器，题解覆盖业务基线、状态机关联、复现步骤与修复设计（改编自 AIGoat，CC BY-NC-SA 4.0）。
  • AWDP 攻防赛（30 题）：AWDP01-10 映射 Dify/RAGFlow/Langflow/Flowise/Open WebUI/n8n 公开 CVE；AWDP11-30 改编自赛事真题。双轨环境：产品仿真模拟轨开箱即用，官方真实容器轨按需启动；同一套 Flag 判定、补丁部署与漏洞阻断 + 业务双回归。
  • 真实赛题（REAL01-06）：大模型投毒赛题改编，只读材料工作区 + 后端确定性判定动作；REAL05 附独立同源 Web 环境。

本版本要点

  • 全赛道质量修复：官方 payload 与判定逻辑全面对齐（修复 LLM10 参考路径失效等确定性问题）；AWDP01 题面/实现/补丁契约三方统一；AWDP12/16 补齐正常业务基线动作；WP 题解全部遵循「业务背景 → 正常基线 → 攻击面识别 → 复现步骤 → 证据确认 → 修复设计」结构。
  • 部署开箱即用：模拟轨回退默认开启，无容器环境渲染内置 fixture 业务界面；install.sh 一键完成共享网络、镜像构建、模拟目标、nginx 5080 网关与控制台编排；上游探测改用容器名并补全 n8n。
  • 可移植性：依赖清单兼容 x86_64 / arm64 与 Python 3.11-3.13（torchvision 0.21.0 / torch 2.6.0）。
  • 原生部署友好：无 Docker 环境可直接 venv + systemd 运行，无 LLM 后端时状态机题目与判定动作照常可玩。
  • 工程质量：内置 35 用例离线测试套件（Flag 契约、payload 对齐、REAL 附件一致性、AWDP 引擎级攻防契约）与全链路 payload 回归脚本。

部署

git clone https://github.com/Tcotl/DVLAA.git
cd DVLAA
./install.sh        # 一键 Docker 部署（5080 单端口）
# 或无 Docker 环境：
python3 -m venv .venv && .venv/bin/pip install -r requirements.txt
.venv/bin/python -m dvlaa   # 监听 0.0.0.0:5000

默认登录：admin / DVLAA2026+（可用 DVLAA_ADMIN_USERNAME / DVLAA_ADMIN_PASSWORD 覆盖，模板见 .env.example）。

Full Changelog: v1.0.1...v1.0.2

Assets 2
Loading