TL; DR
Was die OWASP Agentic AI Top 10 für Sie bedeutet pipeline
Ein LLM, der etwas Falsches behauptet, stellt ein Inhaltsproblem dar. Ein Agent, der etwas Falsches tut, ist ein Sicherheitsvorfall. Die OWASP Agentic AI Top 10 ist die Übersicht für Letzteres.
- Was es ist: die OWASP Agentic AI Top 10 (offiziell die OWASP Top 10 für Agentenanwendungen 2026) listet zehn spezifische Risiken von KI-Agenten auf, die in Ihrem Namen planen, Tools aufrufen, Daten speichern und handeln. Die Codes reichen von ASI01 bis ASI10.
- Wie hängt das zusammen? Es erweitert die OWASP LLM Top 10, anstatt sie zu ersetzen. Die LLM-Liste beschreibt, was ein Modell aussagt; die Agentenliste beschreibt, was ein Agent tut.
- Wo es eintritt: in einem echten pipelineDiese Risiken treten über vier Wege auf: die IDE, Agentenkomponenten von Drittanbietern, Ihren eigenen Agentencode und die Produktionslaufzeitumgebung.
- Was Sie fangen können: Sechs der zehn hinterlassen Spuren im Code und in der Konfiguration, sodass Sie sie vor der Bereitstellung stoppen können. Die anderen vier erfordern Laufzeit-Designkontrollen, und jede dieser Kontrollen beginnt damit, zu wissen, welche Agenten ausgeführt werden.
Der erste Schritt: Inventarisieren Sie jeden Agenten, jedes Tool, jeden MCP-Server und jede Fähigkeit und sperren Sie dann neuen Agentencode in CI mit Ergebnissen, die mit ASI-Codes verknüpft sind.
Warum die OWASP Agentic AI Top 10 wichtig ist: Ihre pipeline hat neu committer
Vor einem Jahr stammte der Code in Ihren Repositories von Menschen. Heute kommt ein wachsender Anteil von KI-Agenten: Programmierassistenten, die Abhängigkeiten installieren, Agenten, die Dateien öffnen pull requestsund Agenten-Frameworks, die mit eigenen Tools, Speicher und Anmeldeinformationen in Ihre eigenen Produkte integriert werden. Genau für diesen Wandel wurde die OWASP Agentic AI Top 10 entwickelt.
Das ändert das Bedrohungsmodell. Ein LLM, das eine falsche Meldung ausgibt, stellt ein Inhaltsproblem dar. Ein Agent, der eine fehlerhafte Aktion ausführt (Daten löscht, ein Token preisgibt oder ein manipuliertes Paket installiert), stellt einen Sicherheitsvorfall dar.
Die OWASP Agentic AI Top 10 ist das erste gemeinsame Vokabular für diese zweite Art von Problem. Die meisten Erklärungen beschränken sich auf Definitionen. Diese hier ordnet jedes Risiko dem Punkt zu, an dem es tatsächlich in Ihr Leben eintritt. pipelineund was Sie vor der Bereitstellung dagegen tun können.
Was ist die OWASP Agentic AI Top 10?
Die OWASP Agentic AI Top 10 ist eine von Experten begutachtete Liste der zehn kritischsten Sicherheitsrisiken in KI-Agenten: Systeme, die planen, Tools aufrufen, Daten speichern und mit delegierter Autorität handeln. Ihr offizieller Name lautet: OWASP Top 10 für Agentenanwendungen 2026Das OWASP GenAI Security Project veröffentlichte es am 9. Dezember 2025 im Rahmen seiner Agentic Security Initiative, daher stammt auch das ASI-Präfix.
Es ist noch ein junges standardDies ist die erste Ausgabe. Jeder Eintrag folgt dem bekannten OWASP-Format mit Beschreibung, typischen Beispielen, Angriffsszenarien und Präventionshinweisen. Der zentrale Designtipp von OWASP zieht sich durch alle zehn Einträge: Agenten sollten nicht mehr Autonomie erhalten, als die Aufgabe erfordert, und Beobachtbarkeit ist unerlässlich.
Agentic Top 10 vs. LLM Top 10
Die Agentenliste ersetzt nicht die OWASP Top 10 für LLM-BewerbungenEs baut darauf auf, und seine Einträge verweisen direkt auf die Risiken des LLM-Studiums. Eine einfache Faustregel:
| Abmessungen | OWASP LLM Top 10 | OWASP Agentic AI Top 10 |
|---|---|---|
| Optik | Was das Modell aussagt | Was der Agent tut |
| Typischer Fehler | Eine manipulierte oder durchgesickerte Antwort | Ein manipuliertes Ziel, ein manipulierter Werkzeugaufruf oder eine manipulierte Aktion |
| Gilt für | Chatbots, RAG-Apps, jegliche LLM-Funktionen | Agenten mit Werkzeugen, Speicher, Delegierung oder anderen Agenten |
| Codes | LLM01 bis LLM10 | ASI01 bis ASI10 |
Wenn Ihre Bewerbung nur Fragen beantwortet, reicht die LLM-Liste aus. Sobald jedoch Maßnahmen ergriffen werden können, benötigen Sie beides. Unser Leitfaden dazu Angriffe zur Mustererkennung zeigt eines der Top-10-Risiken des LLM-Programms im Detail.
Die OWASP Agentic AI Top 10, erklärt: ASI01 bis ASI10 in der Praxis pipelines
Hier werden alle Risiken der OWASP Agentic AI Top 10 in einfachen Worten erläutert, gefolgt von einer Beschreibung ihrer Auswirkungen auf die Codebasen. pipelinewie wir es jeden Tag sehen.
ASI01: Agentenzielübernahme
Ein Angreifer verändert die Ziele des Agenten durch eingeschleuste Anweisungen in einem Dokument, einer E-Mail, einer Webseite oder der Nachricht eines anderen Agenten. Da Agenten Anweisungen nur schwer von Inhalten unterscheiden können, kann manipulierter Text einen ganzen, mehrstufigen Plan außer Kraft setzen.
In Ihrem pipeline: ein Agent, der zusammenfasst pull requests liest eine PR-Beschreibung, die versteckte Anweisungen enthält, und beginnt, diese zu genehmigen oder weiterzugeben, anstatt sie zusammenzufassen.
ASI02: Werkzeugmissbrauch und -ausnutzung
Der Agent nutzt ein ihm zwar erlaubtes Werkzeug, jedoch auf schädliche Weise: Er löscht Daten, ruft eine ressourcenintensive API in einer Endlosschleife auf oder sendet Informationen nach außen. Es werden keine Berechtigungen erweitert; der legitime Zugriff richtet sich lediglich gegen das falsche Ziel.
In Ihrem pipeline: Ein Codierungsagent mit Shell-Zugriff führt einen Bereinigungsbefehl im falschen Verzeichnis aus.
ASI03: Identitäts- und Privilegienmissbrauch
Agenten erben Anmeldeinformationen, Sitzungen und Rollen, und Angreifer nutzen diese Delegationsketten aus, um auf Systeme zuzugreifen, die ihnen direkt nicht zugänglich wären. Die Ursache liegt in Identitätssystemen, die für Menschen entwickelt wurden und nun auf Software angewendet werden, die eigenständig agiert.
In Ihrem pipeline: Eine Agentenkonfiguration enthält ein langlebiges Token mit organisationsweiter Gültigkeit, das von mehreren Tools gemeinsam genutzt wird.
ASI04: Schwachstellen in der Lieferkette von Agentic
Die von Agenten geladenen Modelle, Tools, Plugins, MCP-Server, Skills und Prompts stammen von Drittanbietern und können potenziell schädlich oder manipuliert sein. Im Gegensatz zu klassischen Abhängigkeiten setzen Agenten diese Komponenten häufig erst zur Laufzeit zusammen.
In Ihrem pipeline: Ein Entwickler installiert einen durch Typosquatting entstandenen Agenten-Skill, dessen Anweisungen den Agenten anweisen, Anmeldeinformationen zu lesen und extern zu veröffentlichen.
ASI05: Unerwartete Codeausführung (RCE)
Der Agent generiert oder löst Code aus, der dort ausgeführt wird, wo er nicht ausgeführt werden sollte: Shell-Befehle, deserialisierte Objekte, Template-Engines, eval auf der Grundlage der Modellausgabe. Das Ergebnis kann eine vollständige Kompromittierung des Hosts oder des Containers sein.
In Ihrem pipeline: Der LLM-Ausgang fließt direkt in evaloder ein Agent lädt einen nicht vertrauenswürdigen Datensatz mit pickle.load.
ASI06: Gedächtnis- und Kontextvergiftung
Angreifer infizieren den Langzeitspeicher, die Zusammenfassungen oder die RAG-Speicher des Agenten mit schädlichen Daten, sodass jede zukünftige Dependency InjectioncisDie Ionisierung ist verzerrt. Anders als bei einer einmaligen, provokanten Injektion bleibt die Korruption über mehrere Sitzungen hinweg bestehen.
In Ihrem pipeline: Ein RAG-Retriever verarbeitet externe Dokumente ohne vorherige Bereinigung, und eine fehlerhafte Seite beeinflusst jede nachfolgende Antwort.
ASI07: Unsichere Kommunikation zwischen Agenten
Agenten tauschen Nachrichten ohne Authentifizierung, Integritätsprüfung oder Validierung aus, sodass Nachrichten gefälscht, abgefangen oder verändert werden können. Dieselbe Anweisung kann von verschiedenen Agenten auch unterschiedlich interpretiert werden.
In Ihrem pipeline: Ein Planungsagent nimmt Aufgaben von jedem Dienst im internen Netzwerk entgegen, der sein Protokoll spricht.
ASI08: Kaskadierende Ausfälle
Ein einzelner Fehler (eine Halluzination, eine verfälschte Erinnerung, ein kompromittiertes Tool) breitet sich schneller auf Agenten und Arbeitsabläufe aus, als Menschen reagieren können. OWASP verwendet diese Kategorie, wenn sich der Schaden über den ursprünglichen Sicherheitsvorfall hinaus ausbreitet.
In Ihrem pipeline: Ein Agent erstellt eine fehlerhafte Konfiguration, ein zweiter implementiert sie, ein dritter rollt sie in allen Regionen aus. Wir diskutierten, wie wir diesen Wirkungsbereich in unserem System eindämmen können. Blast Radius SafeDev Talk.
ASI09: Ausnutzung des Vertrauensverhältnisses zwischen Mensch und Agent
Menschen vertrauen auf zuverlässige und gut verständliche Agentenausgaben, und Angreifer oder fehlerhafte Systeme nutzen dieses Vertrauen aus, um die Entwicklung zu steuern.cisIonen. Der Mensch führt die letzte Aktion aus, sodass die Rolle des Agenten aus dem Prüfprotokoll verschwinden kann.
In Ihrem pipeline: Ein Gutachter genehmigt die Arbeit eines Agenten. pull request weil die Erklärung plausibel klingt, ohne den Unterschied zu überprüfen.
ASI10: Abtrünnige Agenten
Ein Agent weicht von seiner vorgesehenen Funktion ab und agiert fortwährend schädlich, irreführend oder außerhalb seines Zuständigkeitsbereichs. Jede einzelne Aktion mag legitim erscheinen; das Gesamtverhalten ist es jedoch nicht. Bei ASI10 geht es um den Kontrollverlust nach Beginn dieser Abweichung, nicht um den anfänglichen Eingriff.
In Ihrem pipeline: Ein Agent nutzt Berechtigungen auch nach Beendigung seiner Aufgabe weiter und erweitert so stillschweigend den Bereich, mit dem er in Kontakt kommt.
Von den zehn Risiken ist ASI04 dasjenige, mit dem die meisten Teams bereits täglich konfrontiert sind: Programmieragenten wählen und installieren Pakete, ohne dass jemand überprüft, was installiert wird. Genau dieses Thema haben wir kürzlich in einem SafeDev Talk ausführlich behandelt. Schauen Sie doch mal rein!
Wo die OWASP Agentic AI Top 10 in Ihr Unternehmen eintreten pipeline
Die zehn Risiken kommen nicht durch eine einzige Tür. Sie kommen durch vier Türen, und jede Tür benötigt ihre eigene Kontrolle.
| Einstiegspunkt | Was kommt hinein | ASI-Risiken | Wo kann man es stoppen? |
|---|---|---|---|
| Entwickler-IDE und Workstation | Codierungsagenten, MCP-Server, Fähigkeiten, Pakete, die Agenten installieren | ASI04, ASI05 | Auf der Workstation, vor der Installation |
| Drittanbieter-Agentenkomponenten | Modelle, Werkzeuge, Plugins, Eingabeaufforderungen aus Registrierungen | ASI04, ASI06 | Bestandsaufnahme und Überprüfung vor der Übernahme |
| Ihr eigener Agentencode | Agenten-Frameworks, Eingabeaufforderungen, Werkzeugdefinitionen, Anmeldeinformationen, RAG pipelines | ASI01, ASI02, ASI03, ASI05, ASI06 | Statische Analyse, in pull requests und CI |
| Produktionslaufzeit | Agenten agieren, sprechen miteinander, arbeiten mit Menschen zusammen | ASI07, ASI08, ASI09, ASI10 | Architektur, Überwachung und Not-Aus-Schalter |
Das Muster ist entscheidend für die Anwendung der OWASP Agentic AI Top 10. Die ersten drei Hürden hinterlassen Spuren im Code und in der Konfiguration, sodass sie vor der Auslieferung erkannt und blockiert werden können. Die vierte Hürde hängt vom Laufzeitverhalten ab und ist daher von Designentscheidungen abhängig: minimale Handlungsfähigkeit, signierte Nachrichten, menschliche Genehmigung für weitreichende Aktionen und die Möglichkeit, jeden Agenten schnell zu widerrufen.
Selbst die Laufzeitsteuerung hängt von einer Sache ab, die Sie zuvor erstellt haben: einem Inventar. Sie können keinen Not-Aus-Schalter für einen Agenten einbauen, von dessen Existenz Sie nichts wissen.
Wie Xygeni die OWASP Agentic AI Top 10 Risiken vor dem Einsatz erkennt
Xygeni KI-Sicherheit Die Software analysiert die KI-Komponenten Ihrer Anwendungen direkt im Quellcode. Jedes Ergebnis wird der entsprechenden OWASP LLM Top 10-Kategorie und, falls zutreffend, dem OWASP Agentic AI Top 10-Code zugeordnet, sodass Ihr Team und Ihre Auditoren die Ergebnisse in derselben Sprache lesen können.
Die Abdeckung der OWASP Agentic AI Top 10 beginnt mit der Bestandsaufnahme. AI Security erkennt Agenten, Modelle, Tools, MCP-Server, Skills und Prompts. guardrailsDie Bestandsaufnahme visualisiert Vektorspeicher und Datensätze in Ihren Repositories und stellt deren Verbindungen dar: welcher Agent welches Modell verwendet, welche Tools ausführt und welche MCP-Server aufruft. Die Bestandsaufnahme wird als CycloneDX 1.6 ML-BOM exportiert.
Xygeni KI-Sicherheit
Was Xygeni vor dem Einsatz erkennt, durch ASI-Risiko
Jeder Befund ist mit seinem OWASP-Code versehen, sodass Ihr Team und Ihre Prüfer ihn in derselben Sprache lesen.
Zielübernahme des Agenten
Schnelle Injektionsoberflächen, Agenten, die externe Inhalte ohne Desinfektion aufnehmen, Aufforderungen, die aus Registern auf schwebenden Etiketten abgerufen werden.
Werkzeugmissbrauch
Werkzeugaufrufende Agenten ohne Eingabe guardrailssowie eine Ansicht der Funktionen pro Asset, wie z. B. Codeausführung und automatische Ausführung.
Identitäts- und Privilegienmissbrauch
Statische, langlebige Anmeldeinformationen in Agentenkonfigurationen, Anmeldeinformationen, die ohne Bereichseinschränkung geteilt werden, MCP- und Tool-Server mit erhöhten Berechtigungen und Geheimnisse in Prompt-Dateien.
Agentic Lieferkette
Böswillige oder durch Tippfehler entstandene Fähigkeiten, mit einem Urteil SICHER / VORSICHT / NICHT INSTALLIEREN; unsicheres Laden von Modellen (trust_remote_code=True); eine KI-Stückliste aller Komponenten.
Unerwartete Codeausführung
Verunreinigungsflüsse vom LLM-Ausgang in eval und von nicht vertrauenswürdigen Datensätzen in pickle.load, in Python und JavaScript; Template-Injection, die zu Remote Code Execution führt.
Gedächtnis- und Kontextvergiftung
Unsaubere RAG-Retriever sowie Vektor- und Einbettungsschwächen (LLM08).
Laufzeitverhalten
Interagentenkommunikation, Kaskadenausfälle, menschliches Vertrauen und fehlerhafte Agenten treten zur Laufzeit auf. Xygeni stellt Ihnen das Inventar und den Beziehungsgraphen zur Verfügung, auf denen diese Laufzeitsteuerungen basieren.
Um diesen Kern herum:
- Semantische Überprüfung von Fähigkeiten und Agentenanweisungen. Eine optionale, reproduzierbare LLM-Prüfung beurteilt die Absicht von
SKILL.mdundAGENTS.mdEs erkennt schädliche Anweisungen, die nur aus Text bestehen und von keiner Signatur erkannt werden können. Es kann auf einem selbstgehosteten System ausgeführt werden. - Gate it in CI. Das
xygeni aiDer Scanner läuft in Ihrem pipeline Der Build schlägt fehl, wenn Fehler gefunden werden. Beginnen Sie im reinen Berichtsmodus und aktivieren Sie dann die Option „Kritisch“. - Sicherheit innerhalb der Agentenschleife. DevAI integriert Xygeni-Scans, -Triage und -Korrekturen in die IDE und in KI-Codierungsagenten durch die Xygeni MCP-Server.
- Schützen Sie den Arbeitsplatz. Shield blockiert schädliche Pakete auf Entwicklerrechnern, bevor diese heruntergeladen werden, und zwar von jedem, der die Installation ausführt. Jede Blockierung wird dem Prozess und Befehl zugeordnet, der sie ausgelöst hat.
- Schnell reparieren. Die KI-Triage priorisiert die Ergebnisse, und die KI-Sanierung generiert Lösungsvorschläge für jede OWASP LLM-Kategorie.
OWASP Agentic AI Top 10 Bereitschaftscheckliste
- Inventar: Erstellen Sie eine Liste aller Agenten, Modelle, Tools, MCP-Server und Skills in Ihren Repositories und halten Sie die Liste täglich aktuell. commit.
- Am wenigsten Handlungsfähigkeit: Jedem Agenten sollten nur die Autonomie und die Werkzeuge zur Verfügung gestellt werden, die er für seine Aufgabe benötigt, und für destruktive Aktionen sollte eine menschliche Genehmigung erforderlich sein.
- Eingeschränkte Identität: Ersetzen Sie die langlebigen, gemeinsam genutzten Agenten-Anmeldeinformationen durch kurzlebige, agentenspezifische Token.
- Nicht vertrauenswürdige Eingabe: Jedes Dokument, jede Webseite, jede E-Mail und jede Agentennachricht sollte als nicht vertrauenswürdig behandelt werden, bevor sie zur Formulierung eines Ziels oder eines Toolaufrufs verwendet werden kann.
- Geprüfte Komponenten: Vor der Einführung sollten Fähigkeiten, MCP-Server und -Modelle überprüft, Versionen festgelegt und eine KI-Stückliste geführt werden.
- Keine unsichere Ausführung: Verbot
evalBei Modellausgabe, Sandbox-Codeausführung und Agenten niemals als Root ausführen. - Speicher bereinigen: Bereinigen Sie, was in RAG-Speicher und den Langzeitspeicher gelangt, und trennen Sie den Speicher nach Benutzer und Kontext.
- Gate in CI: Scan-Agent-Code auf jedem pull request und die Ergebnisse den ASI-Codes zuordnen.
- Beobachten und eindämmen: Protokollieren Sie jede Agentenaktion und jeden Toolaufruf und stellen Sie sicher, dass Sie jeden Agenten schnell widerrufen können.
Wissen Sie, welche Agenten Sie einsetzen, bevor sie handeln?
Die OWASP Agentic AI Top 10 liefert Ihnen die Übersicht. Der erste Schritt ist für alle zehn Risiken derselbe: Finden Sie jeden Agenten, jedes Tool und jede Fähigkeit in Ihrem Code. Erfahren Sie, wie Xygeni AI Security Ihre Agenten inventarisiert und die Ergebnisse ASI-Codes zuordnet.den Demo buchen.
Häufig gestellte Fragen
Wofür steht ASI in der OWASP Agentic AI Top 10?
ASI steht für Agentic Security Initiative, das OWASP GenAI Security Project-Team, das die Liste erstellt hat. Jedes Risiko ist mit einem Code von ASI01 (Agent Goal Hijack) bis ASI10 (Rogue Agents) versehen, analog zur LLM-Liste mit den Codes LLM01 bis LLM10.
Benötige ich die OWASP Agentic AI Top 10, wenn ich bereits die OWASP LLM Top 10 verfolge?
Nur wenn Ihre KI handlungsfähig ist. Ein Chatbot oder eine RAG-App, die lediglich Fragen beantwortet, fällt unter die LLM Top 10. Sobald Ihre Anwendung Tools aufruft, Daten speichert, Aufgaben an andere Agenten delegiert oder Anmeldeinformationen verwendet, deckt die Agentenliste Risiken ab, die die LLM-Liste nicht erfasst.
Kann eine statische Analyse die OWASP Agentic AI Top 10-Risiken aufdecken?
Für viele von ihnen ja. Angriffsflächen für Zielmanipulationen, ungeschützte Tools, übermäßig privilegierte Zugangsdaten, schädliche Fähigkeiten, unsichere Codeausführung und unsaubere RAG-Eingaben hinterlassen Spuren im Code und in der Konfiguration. Risiken, die sich aus dem laufenden Betrieb ergeben, wie etwa Kaskadenfehler und unkontrollierte Agenten, erfordern zusätzlich Laufzeitkontrollen.
