TL; DR
Cosa significa la Top 10 di OWASP Agentic AI per il tuo pipeline
Un LLM che segnala un errore rappresenta un problema di contenuto. Un agente che commette un errore costituisce un incidente di sicurezza. La Top 10 di OWASP Agentic AI è la mappa per il secondo caso.
- Che cosa è: la OWASP Agentic AI Top 10 (ufficialmente la OWASP Top 10 per le applicazioni agentiche 2026Il documento elenca dieci rischi specifici degli agenti di intelligenza artificiale che pianificano, richiamano strumenti, mantengono la memoria e agiscono per conto dell'utente. I codici vanno da ASI01 ad ASI10.
- Come si collega: Si tratta di un'estensione della Top 10 di OWASP LLM, anziché di una sua sostituzione. La lista LLM riguarda ciò che un modello afferma; la lista agentica riguarda ciò che un agente fa.
- Dove entra: in un vero pipelineQuesti rischi si presentano attraverso quattro porte: l'IDE, i componenti dell'agente di terze parti, il codice dell'agente stesso e l'ambiente di runtime di produzione.
- Cosa si può pescare: Sei dei dieci agenti lasciano tracce nel codice e nella configurazione, quindi è possibile bloccarli prima della distribuzione. Gli altri quattro richiedono controlli di progettazione in fase di esecuzione, e ognuno di questi inizia con la conoscenza degli agenti in esecuzione.
Il primo passo: inventaria ogni agente, strumento, server MCP e competenza, quindi controlla il nuovo codice agente in CI con i risultati etichettati ai codici ASI.
Perché la Top 10 dell'OWASP Agentic AI è importante: la tua pipeline ha nuovo commitetà
Un anno fa, il codice nei tuoi repository proveniva da persone. Oggi, una quota crescente proviene da agenti di intelligenza artificiale: assistenti di programmazione che installano dipendenze, agenti che aprono pull requestse framework di agenti che vengono distribuiti all'interno dei vostri prodotti con strumenti, memoria e credenziali propri. È per questo cambiamento che è stata redatta la OWASP Agentic AI Top 10.
Ciò modifica il modello di minaccia. Un LLM che segnala un errore rappresenta un problema di contenuto. Un agente che commette un errore (cancella dati, divulga un token, installa un pacchetto infetto) rappresenta un incidente di sicurezza.
La OWASP Agentic AI Top 10 è il primo vocabolario condiviso per quel secondo tipo di problema. La maggior parte delle spiegazioni si ferma alle definizioni. Questa mappa ogni rischio nel punto in cui effettivamente entra nel tuo pipelinee su cosa si può fare al riguardo prima dell'implementazione.
Quali sono le 10 principali vulnerabilità dell'IA agente OWASP?
La OWASP Agentic AI Top 10 è una lista peer-reviewed dei dieci rischi di sicurezza più critici negli agenti di IA: sistemi che pianificano, chiamano strumenti, mantengono la memoria e agiscono con autorità delegata. Il suo nome ufficiale è OWASP Top 10 per le applicazioni agentiche 2026Il progetto di sicurezza OWASP GenAI lo ha pubblicato il 9 dicembre 2025, tramite la sua Agentic Security Initiative, da cui deriva il prefisso ASI.
È ancora giovane standardQuesta è la sua prima edizione. Ogni voce segue il familiare formato OWASP, con una descrizione, esempi comuni, scenari di attacco e indicazioni per la prevenzione. Il consiglio di progettazione centrale di OWASP è presente in tutte e dieci le voci: evitare di dare agli agenti più autonomia di quanto necessario per il compito e considerare l'osservabilità come obbligatoria.
Classifica dei migliori 10 di Agentic vs. Classifica dei migliori 10 di LLM
L'elenco degli agenti non sostituisce l' OWASP Top 10 per le domande di LLMSi basa su di esso e le sue voci fanno riferimento diretto ai rischi LLM. Una semplice regola pratica:
| Dimensioni | OWASP LLMTop 10 | OWASP Agentic AI Top 10 |
|---|---|---|
| Focus | Cosa dice il modello | Cosa fa l'agente |
| Guasto tipico | Una risposta manipolata o trapelata | Un obiettivo manipolato, una chiamata di strumento o un'azione |
| Si applica a | Chatbot, app RAG, qualsiasi funzionalità LLM | Agenti con strumenti, memoria, delega o altri agenti |
| Codici | LLM01 a LLM10 | ASI01 a ASI10 |
Se la tua applicazione risponde solo a domande, l'elenco LLM ti copre. Nel momento in cui può intraprendere azioni, hai bisogno di entrambi. La nostra guida a attacchi di estrazione di pattern mostra in dettaglio uno dei 10 principali rischi di LLM.
La Top 10 dell'IA agentica OWASP, spiegata: da ASI01 ad ASI10 in realtà pipelines
Ecco ogni rischio nella Top 10 dell'IA agente OWASP in termini semplici, seguito da come appare nei codebase e pipelinecome vediamo ogni giorno.
ASI01: Dirottamento dell'obiettivo dell'agente
Un aggressore altera l'obiettivo dell'agente inserendo istruzioni in un documento, un'e-mail, una pagina web o il messaggio di un altro agente. Gli agenti faticano a distinguere le istruzioni dal contenuto, pertanto il testo inserito può deviare completamente un piano articolato in più fasi.
nella vostra pipeline: un agente che riassume pull requests Legge la descrizione di una pull request contenente istruzioni nascoste e, invece di riassumerla, inizia ad approvarla o a divulgarla.
ASI02: Uso improprio e sfruttamento degli strumenti
L'agente utilizza uno strumento che gli è consentito usare, ma in modo dannoso: cancella dati, chiama ripetutamente un'API dispendiosa in termini di risorse o invia informazioni all'esterno. Non si verifica alcuna elevazione dei privilegi; l'accesso legittimo è semplicemente indirizzato verso il bersaglio sbagliato.
nella vostra pipeline: Un agente di codifica con accesso alla shell esegue un comando di pulizia sulla directory sbagliata.
ASI03: Abuso di identità e privilegi
Gli agenti ereditano credenziali, sessioni e ruoli, e gli aggressori sfruttano queste catene di delega per raggiungere ciò che non potrebbero raggiungere direttamente. La causa principale risiede nei sistemi di identità creati per gli esseri umani e applicati a software che agisce in modo autonomo.
nella vostra pipeline: La configurazione di un agente contiene un token di lunga durata con ambito a livello di organizzazione, condiviso tra diversi strumenti.
ASI04: Vulnerabilità della catena di approvvigionamento degli agenti
I modelli, gli strumenti, i plugin, i server MCP, le competenze e i prompt che gli agenti caricano provengono da terze parti e ognuno di essi può essere dannoso o manomesso. A differenza delle dipendenze classiche, gli agenti spesso assemblano questi componenti in fase di esecuzione.
nella vostra pipeline: Uno sviluppatore installa una skill dell'agente con un errore di tipo typosquat, le cui istruzioni indicano all'agente di leggere le credenziali e di inviarle esternamente.
ASI05: Esecuzione di codice imprevista (RCE)
L'agente genera o attiva codice che viene eseguito dove non dovrebbe: comandi shell, oggetti deserializzati, motori di template, eval sull'output del modello. Il risultato può essere un compromesso completo dell'host o del container.
nella vostra pipeline: L'output di LLM confluisce direttamente in eval, oppure un agente carica un dataset non attendibile con pickle.load.
ASI06: Avvelenamento della memoria e del contesto
Gli aggressori inseriscono dati dannosi nella memoria a lungo termine dell'agente, nei riepiloghi o negli archivi RAG, in modo che ogni futuracisLo ione è distorto. A differenza di un'iniezione di prompt una tantum, la corruzione persiste tra le sessioni.
nella vostra pipeline: Un sistema di recupero dati RAG ingerisce documenti esterni senza alcuna sanificazione, e una pagina contaminata influenza ogni risposta successiva.
ASI07: Comunicazione interagente non sicura
Gli agenti si scambiano messaggi senza autenticazione, controlli di integrità o convalida, pertanto i messaggi possono essere falsificati, intercettati o alterati. La stessa istruzione può inoltre essere interpretata in modo diverso da agenti diversi.
nella vostra pipeline: Un agente di pianificazione accetta incarichi da qualsiasi servizio sulla rete interna che utilizzi il suo protocollo.
ASI08: Guasti a cascata
Un singolo errore (un'allucinazione, un ricordo alterato, uno strumento compromesso) si propaga tra agenti e flussi di lavoro più velocemente di quanto gli esseri umani possano reagire. OWASP applica questa categoria quando il danno si estende oltre la violazione iniziale.
nella vostra pipeline: un agente scrive una configurazione errata, un secondo la implementa, un terzo la estende a tutte le regioni. Abbiamo discusso su come contenere il raggio d'azione di quell'esplosione nel nostro Discussione su SafeDev e sul raggio di esplosione.
ASI09: Sfruttamento della fiducia tra uomo e agente
Le persone si fidano dell'output degli agenti, sicuro e ben spiegato, e gli aggressori o i progetti difettosi sfruttano questa fiducia per guidare icisioni. L'essere umano esegue l'azione finale, quindi il ruolo dell'agente può scomparire dalla traccia di controllo.
nella vostra pipeline: un revisore approva l'agente pull request perché la spiegazione sembra corretta, senza controllare la differenza.
ASI10: Agenti Rinnegati
Un agente si discosta dalla sua funzione prevista e continua ad agire in modo dannoso, ingannevole o al di fuori del suo ambito di applicazione. Ogni singola azione può apparire legittima, ma il comportamento complessivo non lo è. ASI10 riguarda la perdita di controllo dopo l'inizio della deviazione, non l'intrusione iniziale.
nella vostra pipeline: Un agente continua a utilizzare i permessi anche dopo la fine del suo compito, espandendo silenziosamente ciò che tocca.
Tra i dieci rischi, ASI04 è quello che la maggior parte dei team affronta quotidianamente: agenti di codifica che scelgono e installano pacchetti senza che nessuno ne verifichi il contenuto. Abbiamo approfondito proprio questo argomento in un recente SafeDev Talk. Date un'occhiata!
Dove entra la Top 10 dell'IA agente OWASP pipeline
I dieci rischi non arrivano da una sola porta. Arrivano da quattro, e ogni porta richiede un proprio controllo.
| Punto d'entrata | Ciò che entra | Rischi ASI | Dove fermarlo |
|---|---|---|---|
| IDE e workstation per sviluppatori | Agenti di codifica, server MCP, competenze, pacchetti installati dagli agenti | ASI04, ASI05 | Sulla workstation, prima dell'installazione |
| Componenti di agenti di terze parti | Modelli, strumenti, plugin, richieste dai registri | ASI04, ASI06 | Inventario e revisione, prima dell'adozione |
| Il tuo codice agente personale | Framework degli agenti, prompt, definizioni degli strumenti, credenziali, RAG pipelines | ASI01, ASI02, ASI03, ASI05, ASI06 | Analisi statica, in pull requests e CI |
| Tempo di produzione | Agenti che agiscono, parlano tra loro, lavorano con le persone | ASI07, ASI08, ASI09, ASI10 | Architettura, monitoraggio e interruttori di sicurezza |
Il modello è fondamentale per applicare le 10 principali vulnerabilità dell'OWASP Agentic AI. Le prime tre vulnerabilità lasciano tracce nel codice e nella configurazione, il che significa che è possibile individuarle e bloccarle prima del rilascio. La quarta dipende dal comportamento in fase di esecuzione, quindi si basa su scelte di progettazione: minimo intervento umano, messaggi firmati, approvazione umana per azioni ad alto impatto e la possibilità di revocare rapidamente qualsiasi agente.
Anche i controlli in fase di esecuzione dipendono da un elemento creato in precedenza: un inventario. Non è possibile attivare un interruttore di spegnimento su un agente di cui non si conosce l'esistenza.
Come Xygeni individua i 10 principali rischi di OWASP Agentic AI prima dell'implementazione
Xygeni AI Security Analizza i componenti di intelligenza artificiale con cui sono create le tue applicazioni, direttamente dal codice sorgente. Ogni risultato è accompagnato dalla relativa categoria OWASP LLM Top 10 e, ove applicabile, dal codice OWASP Agentic AI Top 10, in modo che il tuo team e i tuoi auditor possano leggere i risultati nella stessa lingua.
La copertura della Top 10 di OWASP Agentic AI inizia con l'inventario. AI Security scopre agenti, modelli, strumenti, server MCP, competenze, prompt, guardrails, archivi vettoriali e set di dati nei tuoi repository e mappa come sono collegati: quale agente utilizza quale modello, esegue quali strumenti e chiama quali server MCP. L'inventario viene esportato come ML-BOM di CycloneDX 1.6.
Xygeni AI Security
Cosa rileva Xygeni prima dell'implementazione, in base al rischio ASI
Ogni riscontro è contrassegnato dal relativo codice OWASP, in modo che il tuo team e i tuoi auditor lo leggano nella stessa lingua.
Dirottamento dell'obiettivo dell'agente
Superfici di iniezione immediate, agenti che ingeriscono contenuti esterni senza sanificazione, messaggi estratti dai registri su etichette fluttuanti.
Uso improprio degli strumenti
Agenti che richiamano strumenti senza input guardrails, oltre a una visualizzazione per ogni risorsa delle funzionalità quali l'esecuzione del codice e l'esecuzione automatica.
Abuso di identità e privilegi
Credenziali statiche a lunga durata nelle configurazioni degli agenti, credenziali condivise senza limitazione dell'ambito, server MCP e degli strumenti con privilegi elevati e segreti nei file di prompt.
Catena di approvvigionamento degli agenti
Competenze dannose o typosquat, con verdetto SICURO / ATTENZIONE / NON INSTALLARE; caricamento del modello non sicuro (trust_remote_code=True); una distinta base AI di ogni componente.
Esecuzione di codice imprevista
Flussi contaminati dall'output di LLM in eval e da set di dati non attendibili in pickle.load, in Python e JavaScript; iniezione di template che porta all'esecuzione di codice remoto (RCE).
Avvelenamento della memoria e del contesto
Recuperatori RAG non sanificati e debolezze del vettore e dell'incorporamento (LLM08).
Comportamento in fase di esecuzione
La comunicazione tra agenti, i guasti a cascata, la fiducia umana e gli agenti non autorizzati emergono durante l'esecuzione. Xygeni fornisce l'inventario e il grafo delle relazioni da cui dipendono questi controlli in fase di esecuzione.
Attorno a quel nucleo:
- Revisione semantica delle competenze e delle istruzioni dell'agente. Una revisione LLM facoltativa e riproducibile valuta l'intento di
SKILL.mdandAGENTS.mdfile, intercettando istruzioni dannose contenute solo in prosa che nessuna firma può rilevare. Può essere eseguito su un modello self-hosted. - Bloccalo in CI. Migliori
xygeni ailo scanner funziona nel tuo pipeline e interrompe la build quando vengono rilevati dei problemi. Inizia in modalità solo report, quindi passa alla modalità Critica. - Sicurezza all'interno del ciclo dell'agente. DeviAI porta Xygeni scansiona, triage e correzioni nell'IDE e negli agenti di codifica AI attraverso il Server Xygeni MCP.
- Proteggere la postazione di lavoro. Shield blocca i pacchetti dannosi sui computer degli sviluppatori prima che vengano scaricati, indipendentemente da chi esegue l'installazione, e attribuisce ogni blocco al processo e al comando che lo ha attivato.
- Riparare velocemente. La funzione di triage dell'IA assegna priorità ai risultati, mentre la funzione di correzione dell'IA genera indicazioni per la risoluzione dei problemi per ogni categoria OWASP LLM.
Lista di controllo OWASP Agentic AI Top 10 per la preparazione
- Inventario: elenca ogni agente, modello, strumento, server MCP e competenza nei tuoi repository e mantieni l'elenco aggiornato su ogni commit.
- Minima agenzia: Concedi a ciascun agente solo l'autonomia e gli strumenti necessari per il suo compito e richiedi l'approvazione umana per le azioni distruttive.
- Identità con ambito: Sostituire le credenziali degli agenti, valide a lungo termine e condivise, con token monouso di breve durata, specifici per ciascun agente.
- Input non attendibile: Tratta ogni documento, pagina web, email e messaggio dell'agente come non attendibile prima che possa influenzare un obiettivo o una chiamata di strumento.
- Componenti verificati: rivedere le competenze, i server MCP e i modelli prima dell'adozione, bloccare le versioni e mantenere una distinta base AI.
- Nessuna esecuzione non sicura: bandire
evalsull'output del modello, esecuzione del codice in ambiente sandbox e non eseguire mai gli agenti come root. - Memoria pulita: ripulire ciò che entra negli archivi RAG e nella memoria a lungo termine e separare la memoria per utente e contesto.
- Gate in CI: codice agente di scansione su ogni pull request e mappare i risultati sui codici ASI.
- Osservare e contenere: Registra ogni azione dell'agente e ogni chiamata allo strumento, e assicurati di poter revocare rapidamente qualsiasi agente.
Sappi quali agenti esegui prima che agiscano
La lista OWASP Agentic AI Top 10 ti fornisce la mappa. La prima mossa è la stessa per tutti e dieci i rischi: individuare ogni agente, strumento e competenza presenti nel tuo codice. Scopri come Xygeni AI Security inventaria i tuoi agenti e associa i risultati ai codici ASI., o prenota una demo.
DOMANDE FREQUENTI
Cosa significa ASI nella Top 10 dell'IA agentica di OWASP?
ASI sta per Agentic Security Initiative, il team del progetto OWASP GenAI Security che ha redatto l'elenco. Ogni rischio è identificato da un codice che va da ASI01 (dirottamento dell'obiettivo dell'agente) a ASI10 (agenti non autorizzati), nello stesso modo in cui l'elenco LLM utilizza i codici da LLM01 a LLM10.
Ho bisogno del corso OWASP Agentic AI Top 10 se seguo già il corso OWASP LLM Top 10?
Solo se la tua IA è in grado di agire. Un chatbot o un'app RAG che si limita a rispondere alle domande rientra nella Top 10 di LLM. Una volta che la tua applicazione richiama strumenti, mantiene memoria, delega ad altri agenti o utilizza credenziali, l'elenco degli agenti copre i rischi non inclusi nell'elenco LLM.
L'analisi statica è in grado di rilevare i 10 principali rischi di OWASP Agentic AI?
Per molti di loro, sì. Le vulnerabilità di dirottamento degli obiettivi, gli strumenti non protetti, le credenziali con privilegi eccessivi, le competenze dannose, l'esecuzione di codice non sicuro e gli input RAG non sanificati lasciano tutti tracce nel codice e nella configurazione. I rischi che emergono dal comportamento in tempo reale, come i guasti a cascata e gli agenti non autorizzati, necessitano di controlli in fase di esecuzione.
