OWASPエージェントAIトップ10解説：ASI01～ASI10

アプリケーションが質問に答えるだけなら、LLM リストでカバーできます。アクションを起こせるようになったら、両方が必要です。 モデル抽出攻撃 LLMにおけるトップ10リスクの1つを詳細に解説する。

OWASPエージェントAIトップ10解説：ASI01からASI10まで pipelines

OWASP Agentic AI Top 10 の各リスクを平易な言葉で説明し、続いてコードベースでどのように見えるかを示します。 pipeline私たちが毎日目にしているように。

ASI01: エージェント目標ハイジャック

攻撃者は、文書、電子メール、ウェブページ、または他のエージェントのメッセージに指示を挿入することで、エージェントが達成しようとしている目標を変更します。エージェントは指示とコンテンツを区別するのが難しいため、挿入されたテキストによって、複数のステップからなる計画全体が変更される可能性があります。

あなたの中で pipeline: 要約するエージェント pull requests 隠された指示を含むPRの説明を読み、要約する代わりに承認したり、情報を漏洩したりする。

ASI02：ツールの誤用と悪用

エージェントは、使用が許可されているツールを悪用する。具体的には、データの削除、高負荷なAPIのループ呼び出し、情報の外部送信などを行う。権限昇格は行われず、正当なアクセス権限が誤った対象に向けられているだけである。

あなたの中で pipeline: シェルアクセス権を持つコーディングエージェントが、誤ったディレクトリに対してクリーンアップコマンドを実行する。

ASI03：アイデンティティと特権の濫用

エージェントは認証情報、セッション、ロールを継承するため、攻撃者はこれらの委任チェーンを悪用して、直接アクセスできないものにアクセスします。根本的な原因は、人間向けに構築されたIDシステムを、自律的に動作するソフトウェアに適用していることにあります。

あなたの中で pipeline: エージェント構成には、組織全体にわたる有効期間の長いトークンが格納されており、複数のツール間で共有されます。

ASI04：エージェントによるサプライチェーンの脆弱性

エージェントが読み込むモデル、ツール、プラグイン、MCPサーバー、スキル、プロンプトはサードパーティから提供されるものであり、それらのいずれも悪意のあるものであったり、改ざんされている可能性があります。従来の依存関係とは異なり、エージェントはこれらのコンポーネントをランタイム時に組み立てることがよくあります。

あなたの中で pipeline: 開発者が、タイプスクワッティングされたエージェントスキルをインストールし、その指示に従ってエージェントに認証情報を読み取って外部に送信するように指示する。

ASI05：予期しないコード実行（RCE）

エージェントは、シェルコマンド、逆シリアル化されたオブジェクト、テンプレートエンジンなど、実行されるべきでない場所で実行されるコードを生成またはトリガーします。 eval モデルの出力結果に基づきます。結果として、ホストまたはコンテナ全体が侵害される可能性があります。

あなたの中で pipeline: LLMの出力は直接 evalまたは、エージェントが信頼できないデータセットをロードします pickle.load.

ASI06：記憶と文脈の汚染

攻撃者はエージェントの長期メモリ、サマリー、またはRAGストアに悪意のあるデータを仕込むため、将来のすべてのデータcisイオンが歪んでいる。一度限りの即時注入とは異なり、この破損はセッションをまたいで持続する。

あなたの中で pipeline: RAGリトリーバーは外部文書をサニタイズせずに取り込むため、たった1つの汚染されたページがその後のすべての回答に影響を与えます。

ASI07: エージェント間の通信の安全性の問題

エージェントは認証、整合性チェック、検証を行わずにメッセージを交換するため、メッセージは偽装、傍受、改ざんされる可能性があります。また、同じ指示でもエージェントによって解釈が異なる場合もあります。

あなたの中で pipeline: プランナーエージェントは、内部ネットワーク上の、そのプロトコルに対応するあらゆるサービスからタスクを受け取ります。

ASI08：連鎖的な障害

一つの障害（幻覚、歪められた記憶、侵害されたツールなど）が、人間の反応速度よりも速く、エージェントやワークフロー全体に拡散する。OWASPはこのカテゴリを、被害が最初の侵害箇所を超えて広がる場合に適用する。

あなたの中で pipeline: あるエージェントが不適切な設定を書き込み、別のエージェントがそれをデプロイし、さらに別のエージェントがそれをすべてのリージョンに展開してしまう。私たちは、その影響範囲をどのように抑えるかを議論した。 爆発半径SafeDevトーク.

ASI09: 人間とエージェント間の信頼関係の悪用

人々は自信に満ちた、よく説明されたエージェントの出力を信頼し、攻撃者や欠陥のある設計者はその信頼を悪用して、cisイオン。最終的なアクションは人間が行うため、エージェントの役割は監査証跡から消える。

あなたの中で pipeline: 審査員がエージェントの pull request 説明が正しいように聞こえるので、差分を確認しなくても問題ない。

ASI10：反逆エージェント

エージェントが本来の機能から逸脱し、有害、欺瞞的、または範囲外の動作を続ける。個々の動作は正当に見えるかもしれないが、全体的な動作はそうではない。ASI10は、最初の侵入ではなく、逸脱が始まった後の制御不能状態に関するものである。

あなたの中で pipeline: エージェントはタスク終了後も権限を使い続け、静かに操作範囲を拡大していく。

10個のリスクのうち、ASI04はほとんどのチームが日々直面しているリスクです。それは、コーディング担当者がパッケージを選択してインストールする際に、その内容を誰も確認しないというものです。先日開催したSafeDevトークでは、まさにこの点について詳しく解説しました。ぜひご覧ください！