TL; DR
Qué significa para su empresa el Top 10 de IA Agentic de OWASP pipeline
Un LLM que dice algo incorrecto es un problema de contenido. Un agente hace algo incorrecto es un incidente de seguridad. El Top 10 de IA Agentic de OWASP es el mapa para el segundo.
- Qué es: Los 10 principales de IA agencial de OWASP (oficialmente el Las 10 principales vulnerabilidades de OWASP para aplicaciones ámbicas en 2026) enumera diez riesgos específicos de los agentes de IA que planifican, utilizan herramientas, almacenan información y actúan en su nombre. Los códigos van del ASI01 al ASI10.
- Cómo se relaciona: Amplía la lista OWASP LLM Top 10 en lugar de reemplazarla. La lista LLM abarca lo que dice un modelo; la lista agentic abarca lo que hace un agente.
- Por dónde entra: en un real pipelineEstos riesgos llegan a través de cuatro puertas: el IDE, los componentes de agentes de terceros, su propio código de agente y el entorno de ejecución de producción.
- Lo que puedes pescar: Seis de los diez dejan huellas digitales en el código y la configuración, por lo que puedes detenerlos antes de la implementación. Los otros cuatro requieren controles de diseño en tiempo de ejecución, y cada uno de ellos comienza por saber qué agentes estás ejecutando.
El primer paso: Inventaría cada agente, herramienta, servidor MCP y habilidad, y luego valida el código del nuevo agente en CI con los hallazgos etiquetados a los códigos ASI.
Por qué importa el Top 10 de IA Agentic de OWASP: su pipeline tiene nuevo commitedad
Hace un año, el código de tus repositorios provenía de personas. Hoy, una proporción cada vez mayor proviene de agentes de IA: asistentes de codificación que instalan dependencias, agentes que abren pull requestsy marcos de agentes que se integran en sus propios productos con herramientas, memoria y credenciales propias. Ese es el cambio para el que se creó el Top 10 de IA Agentic de OWASP.
Eso cambia el modelo de amenazas. Un LLM que indica un error es un problema de contenido. Un agente que realiza una acción incorrecta (eliminar datos, filtrar un token, instalar un paquete infectado) es un incidente de seguridad.
El Top 10 de IA Agentic de OWASP es el primer vocabulario compartido para ese segundo tipo de problema. La mayoría de las explicaciones se detienen en las definiciones. Este mapea cada riesgo al lugar donde realmente ingresa a su pipeliney qué puedes hacer al respecto antes de la implementación.
¿Qué es el Top 10 de IA agencial de OWASP?
La lista OWASP Agentic AI Top 10 es una lista revisada por pares de los diez riesgos de seguridad más críticos en agentes de IA: sistemas que planifican, llaman a herramientas, mantienen memoria y actúan con autoridad delegada. Su nombre oficial es Las 10 principales vulnerabilidades de OWASP para aplicaciones ámbicas en 2026El proyecto de seguridad GenAI de OWASP lo publicó el 9 de diciembre de 2025, a través de su Iniciativa de Seguridad Agenética, de donde proviene el prefijo ASI.
Todavía es joven standardEsta es su primera edición. Cada entrada sigue el formato habitual de OWASP, con una descripción, ejemplos comunes, escenarios de ataque y recomendaciones de prevención. El consejo de diseño central de OWASP se aplica a las diez entradas: evitar otorgar a los agentes más autonomía de la necesaria para la tarea y considerar la observabilidad como obligatoria.
Los 10 mejores de Agentic vs. Los 10 mejores de LLM
La lista de agentes no reemplaza la Los 10 mejores candidatos para el Máster en Derecho de OWASPSe basa en ello, y sus entradas hacen referencia directa a los riesgos de LLM. Una regla general sencilla:
| Dimensión | OWASP LLM Top 10 | Los 10 principales problemas de IA agencial de OWASP |
|---|---|---|
| Enfócate | Lo que dice el modelo | Lo que hace el agente |
| Fallo típico | Una respuesta manipulada o filtrada | Un objetivo, una llamada a una herramienta o una acción manipulada. |
| Se aplica a | Chatbots, aplicaciones RAG, cualquier función LLM | Agentes con herramientas, memoria, delegación u otros agentes |
| Códigos | LLM01 a LLM10 | ASI01 a ASI10 |
Si su solicitud solo responde preguntas, la lista LLM le cubre. En el momento en que puede tomar acciones, necesita ambas. Nuestra guía para ataques de extracción de patrones muestra un análisis en profundidad de los 10 principales riesgos del LLM.
Los 10 principales problemas de IA agencial de OWASP, explicados: de ASI01 a ASI10 en la práctica. pipelines
Aquí está cada riesgo en el Top 10 de IA Agentic de OWASP en términos sencillos, seguido de cómo se ve en las bases de código y pipelinecomo vemos todos los días.
ASI01: Secuestro de objetivo del agente
Un atacante modifica el objetivo del agente mediante instrucciones insertadas en un documento, un correo electrónico, una página web o el mensaje de otro agente. Los agentes tienen dificultades para distinguir las instrucciones del contenido, por lo que el texto insertado puede desviar todo un plan de varios pasos.
En su pipeline: un agente que resume pull requests Lee la descripción de una solicitud de extracción que contiene instrucciones ocultas y comienza a aprobarla o filtrarla en lugar de resumirla.
ASI02: Mal uso y explotación de herramientas
El agente utiliza una herramienta que tiene permiso para usar, pero de forma perjudicial: borra datos, llama repetidamente a una API costosa o envía información. No se produce ninguna escalada de privilegios; simplemente, el acceso legítimo se dirige al objetivo equivocado.
En su pipeline: Un agente de codificación con acceso a la línea de comandos ejecuta un comando de limpieza en el directorio incorrecto.
ASI03: Abuso de identidad y privilegios
Los agentes heredan credenciales, sesiones y roles, y los atacantes explotan esas cadenas de delegación para acceder a lo que no podrían alcanzar directamente. La causa principal reside en los sistemas de identidad diseñados para humanos, aplicados a software que actúa de forma autónoma.
En su pipeline: La configuración de un agente contiene un token de larga duración con alcance en toda la organización, compartido entre varias herramientas.
ASI04: Vulnerabilidades de la cadena de suministro de agentes
Los modelos, herramientas, complementos, servidores MCP, habilidades y mensajes que cargan los agentes provienen de terceros, y cualquiera de ellos puede ser malicioso o haber sido manipulado. A diferencia de las dependencias clásicas, los agentes suelen ensamblar estos componentes en tiempo de ejecución.
En su pipeline: Un desarrollador instala una habilidad de agente con errores tipográficos cuyas instrucciones le indican al agente que lea las credenciales y las publique externamente.
ASI05: Ejecución inesperada de código (RCE)
El agente genera o activa código que se ejecuta donde no debería: comandos de shell, objetos deserializados, motores de plantillas, eval en la salida del modelo. El resultado puede ser un compromiso total del host o del contenedor.
En su pipeline: La salida de LLM fluye directamente a evalo un agente carga un conjunto de datos no confiable con pickle.load.
ASI06: Envenenamiento de la memoria y del contexto
Los atacantes inyectan datos maliciosos en la memoria a largo plazo, los resúmenes o los almacenes RAG del agente, de modo que cada futura ejecucióncisEl ion está sesgado. A diferencia de una inyección puntual, la corrupción persiste entre sesiones.
En su pipeline: Un programa de recuperación RAG ingiere documentos externos sin ningún tipo de saneamiento, y una página contaminada influye en todas las respuestas posteriores.
ASI07: Comunicación insegura entre agentes
Los agentes intercambian mensajes sin autenticación, comprobaciones de integridad ni validación, por lo que los mensajes pueden ser falsificados, interceptados o alterados. Además, una misma instrucción puede ser interpretada de forma diferente por distintos agentes.
En su pipeline: Un agente planificador acepta tareas de cualquier servicio de la red interna que utilice su protocolo.
ASI08: Fallos en cascada
Un fallo (una alucinación, un recuerdo distorsionado, una herramienta comprometida) se propaga entre agentes y flujos de trabajo más rápido de lo que los humanos pueden reaccionar. OWASP aplica esta categoría cuando el daño se extiende más allá de la brecha original.
En su pipeline: Un agente escribe una configuración incorrecta, un segundo la implementa, un tercero la extiende a todas las regiones. Debatimos cómo contener ese radio de explosión en nuestro Charla de SafeDev sobre el radio de explosión.
ASI09: Explotación de la confianza entre humanos y agentes
La gente confía en los resultados de los agentes que son seguros y están bien explicados, y los atacantes o los diseños defectuosos explotan esa confianza para dirigircisiones. El ser humano realiza la acción final, por lo que el rol del agente puede desaparecer del registro de auditoría.
En su pipeline: un revisor aprueba el trabajo de un agente pull request porque la explicación parece correcta, sin comprobar la diferencia.
ASI10: Agentes renegados
Un agente se desvía de su función prevista y continúa actuando de forma perjudicial, engañosa o fuera de su ámbito de actuación. Cada acción puede parecer legítima; sin embargo, el comportamiento general no lo es. ASI10 trata sobre la pérdida de control una vez que comienza la desviación, no sobre la intrusión inicial.
En su pipeline: Un agente continúa utilizando permisos después de que finaliza su tarea, expandiendo silenciosamente lo que toca.
De los diez riesgos, ASI04 es el que la mayoría de los equipos ya enfrentan a diario: agentes de codificación que eligen e instalan paquetes sin que nadie revise su contenido. Analizamos este tema en profundidad en una reciente charla de SafeDev. ¡Échale un vistazo!
Donde entra en juego el Top 10 de IA Agentic de OWASP pipeline
Los diez riesgos no llegan por una sola puerta. Llegan por cuatro, y cada puerta necesita su propio control.
| Punto de entrada | Lo que entra | Riesgos de ASI | ¿Dónde detenerlo? |
|---|---|---|---|
| Entorno de desarrollo integrado (IDE) y estación de trabajo | Agentes de codificación, servidores MCP, habilidades, paquetes que instalan los agentes | ASI04, ASI05 | En la estación de trabajo, antes de la instalación |
| Componentes de agentes de terceros | Modelos, herramientas, complementos, sugerencias de registros | ASI04, ASI06 | Inventario y revisión, antes de la adopción. |
| Tu propio código de agente | Marcos de agentes, indicaciones, definiciones de herramientas, credenciales, RAG pipelines | ASI01, ASI02, ASI03, ASI05, ASI06 | Análisis estático, en pull requests y CI |
| Tiempo de ejecución de producción | Agentes actuando, hablando entre sí, trabajando con personas | ASI07, ASI08, ASI09, ASI10 | Arquitectura, monitorización e interruptores de apagado |
El patrón es crucial para la aplicación de las 10 principales vulnerabilidades de IA con agentes de OWASP. Las tres primeras vulnerabilidades dejan evidencia en el código y la configuración, lo que permite detectarlas y bloquearlas antes de su lanzamiento. La cuarta depende del comportamiento en tiempo de ejecución, por lo que se basa en decisiones de diseño: mínima intervención humana, mensajes firmados, aprobación humana para acciones de alto impacto y la capacidad de revocar cualquier agente rápidamente.
Incluso los controles de ejecución dependen de algo que hayas creado previamente: un inventario. No puedes desactivar un agente cuya existencia desconoces.
Cómo Xygeni detecta los 10 principales riesgos de la IA agencial de OWASP antes de su implementación.
Seguridad de IA de Xygeni Analiza los componentes de IA con los que se construyen sus aplicaciones, directamente desde el código fuente. Cada hallazgo incluye su categoría OWASP LLM Top 10 y, cuando corresponda, su código OWASP Agentic AI Top 10, para que su equipo y sus auditores interpreten los hallazgos en el mismo idioma.
La cobertura del Top 10 de IA de agentes de OWASP comienza con el inventario. AI Security descubre agentes, modelos, herramientas, servidores MCP, habilidades, indicaciones, guardrailsAlmacena vectores y conjuntos de datos en todos sus repositorios, y mapea cómo se conectan: qué agente usa qué modelo, ejecuta qué herramientas y llama a qué servidores MCP. El inventario se exporta como una lista de materiales (ML-BOM) de CycloneDX 1.6.
Seguridad de IA de Xygeni
Lo que Xygeni detecta antes del despliegue, según el riesgo de ASI.
Cada hallazgo está etiquetado con su código OWASP, para que tanto su equipo como sus auditores lo lean en el mismo idioma.
Secuestro de gol del agente
Superficies de inyección inmediata, agentes que ingieren contenido externo sin desinfección, avisos extraídos de registros en etiquetas flotantes.
Mal uso de herramientas
Agentes que invocan herramientas sin entrada guardrails, además de una vista por activo de capacidades como la ejecución de código y la ejecución automática.
Abuso de identidad y privilegios
Credenciales estáticas de larga duración en las configuraciones de los agentes, credenciales compartidas sin restricción de ámbito, servidores MCP y de herramientas con privilegios elevados y Secretos en los archivos de solicitud.
Cadena de suministro de agentes
Habilidades maliciosas o typosquatting, con un veredicto SEGURO / PRECAUCIÓN / NO_INSTALAR; carga de modelo insegura (trust_remote_code=True); una lista de materiales con IA de cada componente.
Ejecución de código inesperada
Flujos de contaminación desde la salida de LLM hacia eval y desde conjuntos de datos no confiables hasta pickle.load, en Python y JavaScript; inyección de plantillas que conduce a la ejecución remota de código (RCE).
Envenenamiento de la memoria y del contexto
Recuperadores RAG no desinfectados y debilidades de vectores e incrustaciones (LLM08).
Comportamiento en tiempo de ejecución
La comunicación entre agentes, los fallos en cascada, la confianza humana y los agentes maliciosos surgen durante la ejecución. Xygeni proporciona el inventario y el gráfico de relaciones de los que dependen estos controles de ejecución.
Alrededor de ese núcleo:
- Revisión semántica de habilidades e instrucciones para agentes. Una revisión LLM opcional y reproducible evalúa la intención de
SKILL.mdyAGENTS.mdarchivos, capturando instrucciones maliciosas solo en prosa que ninguna firma puede detectar. Puede ejecutarse en un modelo autoalojado. - Introdúcelo en CI. El
xygeni aiEl escáner funciona en su pipeline y la compilación falla cuando existen hallazgos. Comience en modo solo informe, luego aplique el filtro en Crítico. - Seguridad dentro del ciclo del agente. DevAI incorpora escaneos, triaje y correcciones de Xygeni al IDE y a los agentes de codificación de IA a través de Servidor MCP de Xygeni.
- Proteja la estación de trabajo. Shield Bloquea los paquetes maliciosos en las máquinas de los desarrolladores antes de que se descarguen, independientemente de quién ejecute la instalación, y atribuye cada bloqueo al proceso y al comando que lo activó.
- Reparar rápido. La función de priorización mediante IA da prioridad a los hallazgos, y la función de remediación mediante IA genera directrices de corrección para cada categoría de OWASP LLM.
Lista de verificación de preparación para la IA agencial de OWASP (Top 10)
- Inventario: Enumere todos los agentes, modelos, herramientas, servidores MCP y habilidades en sus repositorios y mantenga la lista actualizada en cada commit.
- Menor agencia: Otorgar a cada agente únicamente la autonomía y las herramientas necesarias para su tarea, y exigir la aprobación humana para las acciones destructivas.
- Identidad delimitada: Sustituir las credenciales de agente compartidas y de larga duración por tokens de corta duración específicos para cada agente.
- Entrada no confiable: Trate cada documento, página web, correo electrónico y mensaje de agente como no confiable antes de que pueda influir en un objetivo o en una llamada a una herramienta.
- Componentes verificados: Revise las habilidades, los servidores MCP y los modelos antes de la adopción, fije las versiones y mantenga una lista de materiales de IA (AI-BOM).
- No se permite la ejecución insegura: prohibición
evalen la salida del modelo, ejecución de código en entorno aislado y nunca ejecutar agentes como root. - Memoria limpia: Sanear la información que entra en los almacenes RAG y en la memoria a largo plazo, y separar la memoria por usuario y contexto.
- Puerta en CI: escanear el código del agente en cada pull request y asignar los hallazgos a los códigos ASI.
- Observar y contener: Registra cada acción del agente y cada llamada a la herramienta, y asegúrate de poder revocar a cualquier agente rápidamente.
Sepa qué agentes utiliza antes de que actúen.
El Top 10 de IA con agentes de OWASP te proporciona el mapa. El primer paso es el mismo para los diez riesgos: encontrar todos los agentes, herramientas y habilidades en tu código. Vea cómo Xygeni AI Security inventaría a sus agentes y asigna los hallazgos a los códigos ASI., o RESERVAR UNA DEMOSTRACIÓN.
Preguntas Frecuentes
¿Qué significan las siglas ASI en el Top 10 de IA Agentica de OWASP?
ASI son las siglas de Agentic Security Initiative, el equipo del proyecto de seguridad OWASP GenAI que elaboró la lista. Cada riesgo lleva un código desde ASI01 (Agent Goal Hijack) hasta ASI10 (Rogue Agents), del mismo modo que la lista LLM utiliza los códigos LLM01 a LLM10.
¿Necesito el Top 10 de OWASP Agentic AI si ya sigo el Top 10 de OWASP LLM?
Solo si tu IA puede actuar. Un chatbot o una aplicación RAG que simplemente responde preguntas está incluida en el Top 10 de LLM. Una vez que tu aplicación llama a herramientas, mantiene memoria, delega en otros agentes o usa credenciales, la lista de agentes cubre riesgos que la lista de LLM no cubre.
¿Puede el análisis estático detectar los 10 principales riesgos de la IA agencial de OWASP?
Para muchos de ellos, sí. Las vulnerabilidades de secuestro de objetivos, las herramientas desprotegidas, las credenciales con privilegios excesivos, las habilidades maliciosas, la ejecución de código inseguro y las entradas RAG no sanitizadas dejan evidencia en el código y la configuración. Los riesgos que surgen del comportamiento en tiempo real, como las fallas en cascada y los agentes maliciosos, requieren controles en tiempo de ejecución.
