TL; DR
Que signifie le Top 10 des agents IA de l'OWASP pour votre pipeline
Un LLM qui dit quelque chose de faux constitue un problème de contenu. Un agent qui fait quelque chose de mal représente un incident de sécurité. Le Top 10 des agents d'IA de l'OWASP illustre ce second cas.
- Qu'est-ce que c'est: le Top 10 des agents IA de l'OWASP (officiellement le Les 10 meilleures applications agentiques selon l'OWASP en 2026Cette liste répertorie dix risques spécifiques aux agents d'IA qui planifient, utilisent des outils, gèrent la mémoire et agissent en votre nom. Les codes vont de ASI01 à ASI10.
- En quoi cela est-il lié ? Elle complète le Top 10 OWASP LLM sans le remplacer. La liste LLM décrit ce qu'affirme un modèle ; la liste agentique décrit ce qu'agit un agent.
- Point d'entrée : dans un vrai pipelineCes risques arrivent par quatre portes : l’IDE, les composants d’agent tiers, votre propre code d’agent et l’environnement d’exécution en production.
- Ce que vous pouvez attraper : Six des dix agents laissent des traces dans le code et la configuration ; vous pouvez donc les bloquer avant le déploiement. Les quatre autres nécessitent des contrôles de conception à l’exécution, et chacun d’eux commence par identifier les agents exécutés.
Le premier pas: Inventoriez chaque agent, outil, serveur MCP et compétence, puis contrôlez le nouveau code d'agent dans l'intégration continue en associant les résultats aux codes ASI.
Pourquoi le Top 10 des agents IA de l'OWASP est important : votre pipeline a nouveau committers
Il y a un an, le code de vos dépôts provenait d'humains. Aujourd'hui, une part croissante provient d'agents d'IA : des assistants de programmation qui installent les dépendances, des agents qui ouvrent des bibliothèques. pull requestset des frameworks d'agents intégrés à vos produits, dotés de leurs propres outils, mémoire et identifiants. C'est pour ce changement que le Top 10 des solutions d'IA agentiques de l'OWASP a été conçu.
Cela modifie le modèle de menace. Un LLM signalant une erreur constitue un problème de contenu. Un agent commettant une action malveillante (suppression de données, fuite de jeton, installation d'un paquet infecté) représente un incident de sécurité.
Le Top 10 des menaces d'IA de l'OWASP constitue le premier vocabulaire partagé pour ce second type de problème. La plupart des explications se limitent aux définitions. Celle-ci associe chaque risque à l'endroit précis où il entre en jeu dans votre environnement. pipelineet à ce que vous pouvez faire à ce sujet avant le déploiement.
Quel est le Top 10 des agents IA de l'OWASP ?
Le Top 10 des agents d'IA de l'OWASP est une liste évaluée par des pairs recensant les dix risques de sécurité les plus critiques pour les agents d'IA : des systèmes qui planifient, appellent des outils, gèrent la mémoire et agissent avec une autorité déléguée. Son nom officiel est le Top 10 des agents d'IA de l'OWASP. Les 10 meilleures applications agentiques selon l'OWASP en 2026Le projet OWASP GenAI Security l'a publié le 9 décembre 2025, par le biais de son Agentic Security Initiative, d'où provient le préfixe ASI.
C'est encore jeune standardIl s'agit de sa première édition. Chaque entrée suit le format OWASP habituel, avec une description, des exemples courants, des scénarios d'attaque et des conseils de prévention. Le principe de conception central d'OWASP est commun aux dix entrées : éviter d'accorder aux agents plus d'autonomie que nécessaire et considérer l'observabilité comme indispensable.
Comparaison des 10 meilleurs agents et des 10 meilleurs LLM
La liste des agents ne remplace pas la Top 10 de l'OWASP pour les candidatures au LLMIl s'appuie sur ce dernier et ses entrées renvoient directement aux risques liés au LLM. Une règle simple à retenir :
| Dimension | OWASP LLM Top 10 | OWASP Agentic AI Top 10 |
|---|---|---|
| Focus | Ce que dit le modèle | Ce que fait l'agent |
| défaillance typique | Une réponse manipulée ou divulguée | Un objectif, un appel d'outil ou une action manipulés |
| S'applique à | Chatbots, applications RAG, toute fonctionnalité LLM | Agents dotés d'outils, de mémoire, de délégation ou d'autres agents |
| Codes | LLM01 à LLM10 | ASI01 à ASI10 |
Si votre candidature ne fait que répondre à des questions, la liste des candidats au LLM suffit. Dès lors qu'elle peut engager des actions, vous avez besoin des deux. Notre guide attaques par extraction de modèles présente en détail un des 10 principaux risques liés au LLM.
Le Top 10 des agents d'IA de l'OWASP, expliqué : de ASI01 à ASI10 en conditions réelles pipelines
Voici chaque risque du Top 10 des menaces d'IA de l'OWASP expliqué en termes simples, suivi de son application dans les bases de code et pipelinecomme nous le voyons tous les jours.
ASI01 : Détournement d'objectif d'agent
Un attaquant modifie l'objectif de l'agent en injectant des instructions dans un document, un courriel, une page web ou un message d'un autre agent. Les agents peinent à distinguer les instructions du contenu ; un texte inséré de force peut donc détourner l'ensemble d'un plan complexe.
Dans votre pipeline: un agent qui résume pull requests Il lit la description d'une demande d'autorisation contenant des instructions cachées et commence à approuver ou à divulguer l'information au lieu de la résumer.
ASI02 : Utilisation abusive et exploitation des outils
L'agent utilise un outil auquel il a droit, mais de manière malveillante : suppression de données, appels en boucle à une API coûteuse ou diffusion d'informations. Aucun privilège n'est élevé ; l'accès légitime est simplement détourné vers une cible inappropriée.
Dans votre pipeline: Un agent de codage disposant d'un accès shell exécute une commande de nettoyage sur le mauvais répertoire.
ASI03 : Abus d'identité et de privilèges
Les agents héritent des identifiants, des sessions et des rôles, et les attaquants exploitent ces chaînes de délégation pour accéder à des ressources inaccessibles directement. La cause profonde réside dans les systèmes d'identité conçus pour les humains, appliqués à des logiciels fonctionnant de manière autonome.
Dans votre pipeline: La configuration d'un agent contient un jeton à longue durée de vie, à portée globale au sein de l'organisation, partagé entre plusieurs outils.
ASI04 : Vulnérabilités de la chaîne d’approvisionnement des agents
Les modèles, outils, plugins, serveurs MCP, compétences et invites chargés par les agents proviennent de tiers et peuvent tous être malveillants ou altérés. Contrairement aux dépendances classiques, les agents assemblent souvent ces composants lors de l'exécution.
Dans votre pipeline: Un développeur installe une compétence d'agent typosquattée dont les instructions indiquent à l'agent de lire les identifiants et de les publier en externe.
ASI05 : Exécution de code inattendue (RCE)
L'agent génère ou déclenche du code qui s'exécute là où il ne devrait pas : commandes shell, objets désérialisés, moteurs de modèles, eval sur la sortie du modèle. Le résultat peut être une compromission totale de l'hôte ou du conteneur.
Dans votre pipeline: La production de LLM s'écoule directement dans eval, ou un agent charge un ensemble de données non fiable avec pickle.load.
ASI06 : Empoisonnement de la mémoire et du contexte
Les attaquants introduisent des données malveillantes dans la mémoire à long terme, les résumés ou les bases de données RAG de l'agent, de sorte que chaque future déconnexion sera compromise.cisL'ionisation est biaisée. Contrairement à une injection ponctuelle, la corruption persiste d'une session à l'autre.
Dans votre pipeline: Un récupérateur RAG ingère des documents externes sans les nettoyer, et une seule page contaminée influence toutes les réponses qui suivent.
ASI07 : Communication inter-agents non sécurisée
Les agents échangent des messages sans authentification, sans contrôle d'intégrité ni validation, ce qui permet leur falsification, leur interception ou leur modification. De plus, une même instruction peut être interprétée différemment par différents agents.
Dans votre pipeline: Un agent de planification accepte les tâches de n'importe quel service du réseau interne qui utilise son protocole.
ASI08 : Défaillances en cascade
Une seule faille (une hallucination, un souvenir erroné, un outil compromis) se propage entre les agents et les flux de travail plus rapidement que les humains ne peuvent réagir. OWASP utilise cette catégorie lorsque les dommages s'étendent au-delà de la brèche initiale.
Dans votre pipeline: Un agent rédige une configuration erronée, un deuxième la déploie, un troisième la diffuse dans toutes les régions. Nous avons débattu de la manière de limiter l'impact de cette situation dans notre… Rayon d'explosion SafeDev Talk.
ASI09 : Exploitation de la confiance entre humains et agents
Les utilisateurs font confiance aux résultats fiables et bien expliqués des agents, et les attaquants ou les conceptions défectueuses exploitent cette confiance pour les manipuler.cisL'humain effectue l'action finale, de sorte que le rôle de l'agent peut disparaître de la piste d'audit.
Dans votre pipeline: un examinateur approuve le profil d'un agent pull request car l'explication semble correcte, sans vérifier la différence.
ASI10 : Agents renégats
Un agent dévie de sa fonction initiale et continue d'agir de manière nuisible, trompeuse ou hors de son champ d'action. Chaque action peut sembler légitime ; le comportement global, en revanche, ne l'est pas. L'ASI10 concerne la perte de contrôle après le début de cette dérive, et non l'intrusion initiale.
Dans votre pipeline: Un agent continue d'utiliser les autorisations après la fin de sa tâche, étendant discrètement ce qu'il touche.
Parmi les dix risques, ASI04 est celui auquel la plupart des équipes sont déjà confrontées au quotidien : des agents de développement choisissent et installent des paquets sans que personne ne vérifie leur contenu. Nous avons abordé ce sujet en détail lors d'une récente conférence SafeDev Talk. Jetez-y un œil !
Où le Top 10 des agents IA de l'OWASP entre-t-il en scène ? pipeline
Les dix risques n'arrivent pas par une seule porte. Ils arrivent par quatre, et chaque porte nécessite son propre contrôle.
| Point d'accès | Ce qui entre | Risques liés à l'ASI | Où l'arrêter ? |
|---|---|---|---|
| IDE de développement et poste de travail | Agents de codage, serveurs MCP, compétences, packages installés par les agents | ASI04, ASI05 | Sur le poste de travail, avant l'installation |
| Composants d'agents tiers | Modèles, outils, plugins, invites des registres | ASI04, ASI06 | Inventaire et examen, avant adoption |
| Votre propre code d'agent | Cadres d'agents, invites, définitions d'outils, identifiants, RAG pipelines | ASI01, ASI02, ASI03, ASI05, ASI06 | Analyse statique, dans pull requests et CI |
| Durée d'exécution de la production | Des agents qui agissent, qui se parlent, qui travaillent avec des gens | ASI07, ASI08, ASI09, ASI10 | Architecture, surveillance et interrupteurs d'arrêt d'urgence |
Le modèle choisi est crucial pour l'application des 10 principales vulnérabilités d'IA de l'OWASP. Les trois premières laissent des traces dans le code et la configuration, ce qui permet de les identifier et de les bloquer avant toute mise en production. La quatrième dépend du comportement à l'exécution et repose donc sur des choix de conception : limitation de l'intervention humaine, signature des messages, validation humaine des actions à fort impact et possibilité de révoquer rapidement tout agent.
Même les commandes d'exécution dépendent d'un élément que vous avez créé au préalable : un inventaire. Impossible de désactiver un agent dont vous ignorez l'existence.
Comment Xygeni détecte les 10 principaux risques liés à l'IA agentique selon l'OWASP avant son déploiement
Sécurité IA Xygeni Ce système analyse directement le code source des composants d'IA utilisés dans vos applications. Chaque résultat est accompagné de sa catégorie OWASP LLM Top 10 et, le cas échéant, de son code OWASP Agentic AI Top 10, permettant ainsi à votre équipe et à vos auditeurs de lire les résultats dans le même langage.
L'analyse du Top 10 des agents d'IA de l'OWASP commence par un inventaire. La sécurité de l'IA détecte les agents, les modèles, les outils, les serveurs MCP, les compétences, les invites, guardrailsCe document recense les vecteurs et les ensembles de données stockés dans vos référentiels, et décrit leurs connexions : quel agent utilise quel modèle, exécute quels outils et appelle quels serveurs MCP. L’inventaire est exporté au format CycloneDX 1.6 ML-BOM.
Sécurité IA Xygeni
Ce que Xygeni détecte avant le déploiement, par risque ASI
Chaque constat est étiqueté avec son code OWASP, afin que votre équipe et vos auditeurs le lisent dans le même langage.
Détournement d'objectif d'agent
Surfaces d'injection rapide, agents ingérant du contenu externe sans désinfection, invites extraites de registres sur des étiquettes flottantes.
Utilisation abusive des outils
Agents invoquant des outils sans entrée guardrails, ainsi qu'une vue par actif des fonctionnalités telles que l'exécution de code et l'exécution automatique.
Abus d'identité et de privilège
Informations d'identification statiques et persistantes dans les configurations d'agents, informations d'identification partagées sans restriction de portée, serveurs MCP et d'outils avec des privilèges élevés et secrets dans les fichiers d'invite.
Chaîne d'approvisionnement Agentic
Compétences malveillantes ou falsifiées, avec un verdict SÛR / ATTENTION / NE PAS INSTALLER ; chargement de modèle non sécurisé (trust_remote_code=True) ; une nomenclature IA de chaque composant.
Exécution de code inattendue
Les flux de contamination provenant de la sortie LLM se déversent dans eval et à partir d'ensembles de données non fiables dans pickle.load, en Python et JavaScript ; injection de modèles menant à l’exécution de code à distance.
Empoisonnement de la mémoire et du contexte
Récupérateurs RAG non nettoyés et faiblesses des vecteurs et de l'intégration (LLM08).
Comportement d'exécution
Communication inter-agents, défaillances en cascade, confiance humaine et agents malveillants apparaissent en cours d'exécution. Xygeni vous fournit l'inventaire et le graphe de relations dont dépendent ces contrôles d'exécution.
Autour de ce noyau :
- Examen sémantique des compétences et des instructions de l'agent. Une évaluation facultative et reproductible du LLM permet de juger l'intention de
SKILL.mdetAGENTS.mdIl détecte les fichiers malveillants contenant uniquement du texte, ce qui les rend invisibles aux signatures. Il peut être exécuté sur un modèle auto-hébergé. - Intégrez-le dans CI. Le
xygeni aiLe scanner s'exécute dans votre pipeline La compilation échoue en cas de problème. Commencez en mode rapport uniquement, puis activez le contrôle en fonction du niveau de critique. - La sécurité au sein de la boucle de l'agent. DevAI intègre les analyses, le triage et les corrections Xygeni dans l'IDE et dans les agents de codage IA via le Serveur Xygeni MCP.
- Protégez le poste de travail. Shield Bloque les paquets malveillants sur les machines des développeurs avant leur téléchargement, quel que soit l'utilisateur qui effectue l'installation, et attribue chaque blocage au processus et à la commande qui l'ont déclenché.
- Réparez vite. Le triage par IA hiérarchise les résultats, et la remédiation par IA génère des recommandations de correction pour chaque catégorie OWASP LLM.
Liste de contrôle des 10 principaux critères de préparation à l'IA agentique OWASP
- Inventaire: Dressez la liste de tous les agents, modèles, outils, serveurs MCP et compétences présents dans vos référentiels et maintenez-la à jour régulièrement. commit.
- Agence minimale : N’accordez à chaque agent que l’autonomie et les outils nécessaires à sa tâche, et exigez l’approbation humaine pour les actions destructives.
- Identité délimitée : Remplacer les identifiants d'agent partagés et de longue durée par des jetons à durée de vie limitée propres à chaque agent.
- Entrée non fiable : Considérez chaque document, page web, courriel et message d'agent comme non fiable avant qu'il puisse influencer un objectif ou déclencher un appel d'outil.
- Composants vérifiés : Examiner les compétences, les serveurs et les modèles MCP avant l'adoption, épingler les versions et conserver une nomenclature AI-BOM.
- Aucune exécution non sécurisée : interdire
evalLors de la sortie du modèle, exécutez le code en mode sandbox et n'exécutez jamais les agents en tant que root. - Mémoire propre : assainir les données entrant dans les mémoires RAG et la mémoire à long terme, et séparer la mémoire par utilisateur et par contexte.
- Porte dans CI : code de l'agent de scan sur chaque pull request et associer les résultats aux codes ASI.
- Observer et contenir : Consignez chaque action d'agent et chaque appel d'outil, et assurez-vous de pouvoir révoquer rapidement n'importe quel agent.
Sachez quels agents vous gérez avant qu'ils n'agissent.
Le Top 10 des agents d'IA de l'OWASP vous fournit la feuille de route. La première étape est la même pour les dix risques : identifier tous les agents, outils et compétences présents dans votre code. Découvrez comment Xygeni AI Security inventorie vos agents et associe les résultats aux codes ASI., réserver une démo.
FAQ
Que signifie ASI dans le Top 10 des IA agentiques de l'OWASP ?
ASI signifie Agentic Security Initiative, l'équipe du projet OWASP GenAI Security qui a établi cette liste. Chaque risque est codé de ASI01 (Détournement d'objectif d'agent) à ASI10 (Agents malveillants), de la même manière que la liste LLM utilise LLM01 à LLM10.
Ai-je besoin du Top 10 OWASP Agentic AI si je suis déjà le Top 10 OWASP LLM ?
Uniquement si votre IA est capable d'agir. Un chatbot ou une application RAG qui se contente de répondre à des questions est couvert par le Top 10 LLM. Dès lors que votre application fait appel à des outils, conserve des données en mémoire, délègue des tâches à d'autres agents ou utilise des identifiants, la liste des risques liés à l'IA couvre les risques non pris en compte par la liste LLM.
L'analyse statique peut-elle détecter les 10 principaux risques liés à l'IA selon l'OWASP ?
Pour beaucoup d'entre eux, oui. Les failles de sécurité, les outils non protégés, les identifiants surprivilégiés, les compétences malveillantes, l'exécution de code non sécurisé et les entrées RAG non filtrées laissent des traces dans le code et la configuration. Les risques liés au comportement en production, tels que les défaillances en cascade et les agents malveillants, nécessitent des contrôles d'exécution supplémentaires.
