Објаснување на топ 10 за агентска вештачка интелигенција на OWASP: ASI01–ASI10

TL; ДР

Што значи за вас OWASP Agentic AI Top 10? pipeline

LLM што кажува нешто погрешно е проблем со содржината. Агент што прави нешто погрешно е безбедносен инцидент. Топ 10 на OWASP Agentic AI е мапата за втората.

Што е тоа: Топ 10 на OWASP за агентска вештачка интелигенција (официјално OWASP Топ 10 за агенциски апликации за 2026 година) наведува десет ризици специфични за агентите на вештачката интелигенција кои планираат, повикуваат алатки, чуваат меморија и дејствуваат во ваше име. Кодовите се движат од ASI01 до ASI10.
Како е поврзано: го проширува OWASP LLM Top 10, наместо да го заменува. Листата LLM опфаќа што кажува моделот; листата на агенти опфаќа што прави агентот.
Каде влегува: во вистински pipeline, овие ризици доаѓаат низ четири врати: IDE, компоненти на агент од трети страни, вашиот сопствен агентски код и време на извршување во производството.
Што можете да уловите: Шест од десетте оставаат отпечатоци од прсти во кодот и конфигурацијата, така што можете да ги запрете пред распоредување. Другите четири имаат потреба од контроли за дизајн за време на извршување, а секоја од нив започнува со знаење кои агенти ги извршувате.

Првиот чекор: Инвентарирајте го секој агент, алатка, MCP сервер и вештина, а потоа внесете го новиот код на агент во CI со наоди означени со ASI кодови.

Зошто е важен OWASP Agentic AI Top 10: вашиот pipeline има ново committers

Пред една година, кодот во вашите складишта доаѓаше од луѓе. Денес, растечки дел доаѓа од агенти на вештачка интелигенција: асистенти за кодирање кои инсталираат зависности, агенти кои отвораат pull requestsи агентски рамки кои се испорачуваат во вашите сопствени производи со свои алатки, меморија и акредитиви. Тоа е промената за која е напишан OWASP Agentic AI Top 10.

Тоа го менува моделот на закана. LLM кој кажува нешто погрешно е проблем со содржината. Агент кој прави нешто погрешно (брише податоци, протекува токен, инсталира отровен пакет) е безбедносен инцидент.

Топ 10 листата на OWASP Agentic AI е првиот споделен речник за тој втор вид проблем. Повеќето објаснувачи се задржуваат на дефинициите. Оваа листа го мапира секој ризик на местото каде што всушност влегува во вашиот... pipelineи што можете да направите во врска со тоа пред распоредувањето.

Кои се топ 10-те најдобри агентски вештачки интелигенции на OWASP?

„OWASP Agentic AI Top 10“ е рецензирана листа на десетте најкритични безбедносни ризици кај агентите за вештачка интелигенција: системи што планираат, повикуваат алатки, чуваат меморија и дејствуваат со делегирана моќ. Нејзиното официјално име е OWASP Топ 10 за агенциски апликации за 2026 годинаПроектот за безбедност на OWASP GenAI го објави на 9 декември 2025 година, преку својата Иницијатива за агенциска безбедност, од каде што доаѓа и префиксот ASI.

Сè уште е млад standard: ова е неговото прво издание. Секој запис го следи познатиот OWASP формат, со опис, вообичаени примери, сценарија за напад и упатства за превенција. Централните совети за дизајн на OWASP се протегаат низ сите десет: избегнувајте да им давате на агентите поголема автономија отколку што е потребна на задачата и третирајте ја видливоста како задолжителна.

Агентски Топ 10 наспроти LLM Топ 10

Листата на агенти не го заменува OWASP Топ 10 за апликации за LLMСе гради врз него, а неговите записи директно се вкрстуваат со ризиците од LLM. Едноставно правило:

димензија	OWASP LLM Топ 10	Топ 10 за агентска вештачка интелигенција на OWASP
Фокус	Што вели моделот	Што прави агентот
Типичен дефект	Манипулиран или протечен одговор	Манипулирана цел, повик за алатка или акција
Се однесува на	Чет-ботови, RAG апликации, која било функција за LLM	Агенти со алатки, меморија, делегирање или други агенти
Кодови	LLM01 до LLM10	ASI01 до ASI10

Ако вашата апликација одговара само на прашања, листата за LLM ве покрива. Во моментот кога ќе може да преземе мерки, ви се потребни и двете. Нашиот водич за напади за извлекување на модели детално прикажува еден ризик од Топ 10 за LLM.

Топ 10 за агентска вештачка интелигенција на OWASP, објаснето: ASI01 до ASI10 во реалноста pipelines

Еве го секој ризик во OWASP Agentic AI Top 10 накратко, проследено со тоа како изгледа во базите на кодови и pipelineшто го гледаме секој ден.

ASI01: Грабеж на целта на агентот

Напаѓачот го менува она што агентот се обидува да го постигне преку инјектирани инструкции во документ, е-пошта, веб-страница или порака од друг агент. Агентите се мачат да ги разликуваат инструкциите од содржината, па затоа вградениот текст може да пренасочи цел план од повеќе чекори.

Во вашиот pipeline: агент кој сумира pull requests чита опис на односи со јавноста што содржи скриени инструкции и почнува да одобрува или да протекува наместо да сумира.

ASI02: Злоупотреба и експлоатација на алатки

Агентот користи алатка што му е дозволено да ја користи, но на штетен начин: бришење податоци, повикување скапо API во јамка или испраќање информации. Не се ескалира никаква привилегија; легитимниот пристап едноставно се насочува кон погрешна цел.

Во вашиот pipeline: Кодирачки агент со пристап до shell извршува команда за чистење на погрешен директориум.

ASI03: Злоупотреба на идентитет и привилегии

Агентите наследуваат акредитиви, сесии и улоги, а напаѓачите ги искористуваат тие синџири на делегирање за да стигнат до она што не можеле директно да го достигнат. Основната причина се системите за идентитет изградени за луѓе, применети на софтвер кој делува самостојно.

Во вашиот pipeline: Конфигурацијата на агент содржи долготраен токен со опсег на целата организација, споделен низ неколку алатки.

ASI04: Ранливости во агентскиот синџир на снабдување

Моделите, алатките, додатоците, MCP серверите, вештините и инструкциите што ги вчитуваат агентите доаѓаат од трети страни, и секој од нив може да биде злонамерен или изменет. За разлика од класичните зависности, агентите често ги составуваат овие компоненти за време на извршување.

Во вашиот pipeline: Развивачот инсталира вештина на агент со грешка во пишувањето чии инструкции му кажуваат на агентот да ги прочита акредитивите и да ги објави однадвор.

ASI05: Неочекувано извршување на код (RCE)

Агентот генерира или активира код што работи таму каде што не треба: команди на shell, десериализирани објекти, шаблони за мотори, eval на излезот на моделот. Резултатот може да биде целосен компромитирање на хостот или контејнерот.

Во вашиот pipeline: LLM излезот тече директно во eval, или агент вчитува недоверлив сет на податоци со pickle.load.

ASI06: Труење со меморијата и контекстот

Напаѓачите ја засејуваат долгорочната меморија, резимеата или RAG складиштата на агентот со злонамерни податоци, така што секоја идна деcisјонот е искривен. За разлика од еднократната инјекција со брза инјекција, корупцијата опстојува низ сесиите.

Во вашиот pipeline: RAG ретривер внесува надворешни документи без дезинфекција, а една отровна страница го обликува секој одговор што следи.

ASI07: Небезбедна комуникација меѓу агенти

Агентите разменуваат пораки без автентикација, проверки на интегритетот или валидација, па затоа пораките можат да бидат лажни, пресретнати или изменети. Истата инструкција може да биде прочитана различно од различни агенти.

Во вашиот pipeline: Планерскиот агент прифаќа задачи од која било услуга на внатрешната мрежа што го зборува неговиот протокол.

ASI08: Каскадни неуспеси

Еден дефект (халуцинација, затруена меморија, компромитирана алатка) се шири низ агентите и работните процеси побрзо отколку што луѓето можат да реагираат. OWASP ја применува оваа категорија кога штетата се шири надвор од првичното нарушување.

Во вашиот pipeline: Еден агент пишува лоша конфигурација, втор ја распоредува, трет ја распоредува во секој регион. Дебатиравме како да го ограничиме тој радиус на експлозија во нашиот Blast Radius SafeDev Talk.

ASI09: Експлоатација на доверба помеѓу човек и агент

Луѓето веруваат во сигурни, добро објаснети резултати од агентот, а напаѓачите или несовршените дизајни ја искористуваат таа доверба за да управуваат со...cisјони. Човекот ја извршува последната акција, па улогата на агентот може да исчезне од ревизорската трага.

Во вашиот pipeline: рецензент одобрува агент pull request бидејќи објаснувањето звучи точно, без да се провери разликата.

ASI10: Нечесни агенти

Агентот отстапува од својата наменета функција и продолжува да дејствува штетно, измамнички или надвор од опсегот. Секоја акција може да изгледа легитимно; целокупното однесување не е. ASI10 се однесува на губење на контролата откако ќе започне отстапувањето, а не на почетното упаѓање.

Во вашиот pipeline: Агентот продолжува да ги користи дозволите откако ќе заврши неговата задача, тивко проширувајќи го она што го допира.

Од десетте ризици, ASI04 е оној со кој повеќето тимови веќе се соочуваат секој ден: агенти за кодирање кои избираат и инсталираат пакети, а никој не прегледува што влегува. Токму тоа го разгледавме во неодамнешниот SafeDev Talk. Погледнете!

Каде што OWASP Agentic AI Top 10 влегува во вашиот pipeline

Десетте ризици не пристигнуваат низ една врата. Тие пристигнуваат низ четири, а секоја врата има потреба од сопствена контрола.

Влезна точка	Што влегува	ASI ризици	Каде да се запре
IDE за развивачи и работна станица	Кодирачки агенти, MCP сервери, вештини, пакети што агентите ги инсталираат	АСИ04, АСИ05	На работната станица, пред инсталацијата
Компоненти на агент од трета страна	Модели, алатки, додатоци, инструкции од регистри	АСИ04, АСИ06	Инвентар и преглед, пред усвојување
Вашиот сопствен код на агент	Рамки на агенти, инструкции, дефиниции на алатки, акредитиви, RAG pipelines	АСИ01, АСИ02, АСИ03, АСИ05, АСИ06	Статичка анализа, во pull requests и CI
Време на извршување на продукцијата	Агенти кои дејствуваат, разговараат едни со други, работат со луѓе	АСИ07, АСИ08, АСИ09, АСИ10	Архитектура, мониторинг и прекинувачи за исклучување

Моделот е важен за тоа како го применувате OWASP Agentic AI Top 10. Првите три врати оставаат докази во код и конфигурација, што значи дека можете да ги пронајдете и блокирате пред да се испрати нешто. Четвртата зависи од однесувањето во времето на извршување, па затоа се потпира на избори на дизајн: најмалку дејствување, потпишани пораки, човечко одобрување за дејства со големо влијание и можност за брзо отповикување на кој било агент.

Дури и контролите за време на извршување зависат од едно нешто што сте го изградиле претходно: инвентар. Не можете да ставите прекинувач за исклучување на агент за кој не знаете дека постои.

Како Xygeni го открива OWASP Agentic AI Топ 10 ризици пред распоредување

Безбедност на Xygeni AI ги скенира компонентите на вештачката интелигенција со кои се изградени вашите апликации, директно од изворниот код. Секој наод ја носи својата категорија OWASP LLM Top 10 и, каде што е применливо, својот код OWASP Agentic AI Top 10, така што вашиот тим и вашите ревизори ги читаат наодите на ист јазик.

Покривањето на OWASP Agentic AI Top 10 започнува со инвентарот. AI Security открива агенти, модели, алатки, MCP сервери, вештини, инструкции, guardrails, векторски складишта и множества податоци низ вашите складишта и мапира како тие се поврзуваат: кој агент користи кој модел, извршува кои алатки и повикува кои MCP сервери. Инвентарот се експортира како CycloneDX 1.6 ML-BOM.

Безбедност на Xygeni AI

Што Xygeni детектира пред распоредување, според ASI ризик

Секое откритие е означено со неговиот OWASP код, така што вашиот тим и вашите ревизори го читаат на ист јазик.

ASI01

Грабеж на голот на агентот

Површини за брзо инјектирање, агенси што внесуваат надворешна содржина без дезинфекција, инструкции извлечени од регистри на лебдечки етикети.

ASI02

Злоупотреба на алатката

Агенти што повикуваат алатки без влезни информации guardrails, плус преглед на можностите по средство како што се извршување на код и автоматско извршување.

ASI03

Злоупотреба на идентитет и привилегии

Статични долготрајни акредитиви во конфигурациите на агентите, акредитиви споделени без стеснување на опсегот, MCP и сервери на алатки со зголемени привилегии и тајни во датотеките со барања.

ASI04

Агенциски синџир на снабдување

Злонамерни или правописни вештини, со пресуда БЕЗБЕДНО / ПРЕДУПРЕДУВАЊЕ / НЕ ИНСТАЛИРАЈТЕ; небезбедно вчитување на моделот (trust_remote_code=True); AI-BOM на секоја компонента.

ASI05

Неочекувано извршување на код

Дамките течат од излезот на LLM во eval и од недоверливи бази на податоци во pickle.load, во Python и JavaScript; инјектирање на шаблон што води до RCE.

ASI06

Труење со меморијата и контекстот

Несанирани RAG ретривери и слабости во векторите и вградувањето (LLM08).

ASI07 до ASI10

Однесување при извршување

Комуникацијата меѓу агентите, каскадните неуспеси, човечката доверба и нечесните агенти се појавуваат за време на извршување. Xygeni ви го дава графиконот на инвентар и врски од кои зависат тие контроли за време на извршување.

Околу тоа јадро:

Семантички преглед на вештини и инструкции на агенти. Опционален, репродуциран преглед на LLM ја проценува намерата на SKILL.md AGENTS.md датотеки, фаќајќи само прозни злонамерни инструкции што не може да ги види ниту еден потпис. Може да работи на самостоен модел.
Затворете го во CI. на xygeni ai скенерот работи во вашиот pipeline и не успева во градењето кога постојат наоди. Започнете во режим само за извештаи, а потоа затворете го системот на критично.
Безбедност во јамката на агентот. DevAI ги носи скенирањата, тријажата и поправките на Xygeni во IDE и во агентите за кодирање со вештачка интелигенција преку Xygeni MCP сервер.
Заштитете ја работната станица. Shield Ги блокира малициозните пакети на машините на програмерите пред да ги преземат, на оној кој ја извршува инсталацијата и го припишува секое блокирање на процесот и командата што го активирале.
Поправи брзо. AI Triage ги приоритизира наодите, а AI Remediation генерира упатства за корекција за секоја категорија на OWASP LLM.

OWASP Agent AI Топ 10 листа за проверка на подготвеност

Инвентар: наведете го секој агент, модел, алатка, MCP сервер и вештина во вашите складишта и одржувајте ја листата ажурирана на секој commit.
Најмала агенција: дајте му на секој агент само автономијата и алатките што му се потребни на неговата задача и побарајте човечко одобрение за деструктивни дејства.
Опфатен идентитет: заменете ги долговечните, споделени акредитиви на агентот со кратковечни токени по агент.
Недоверлив внес: третирајте го секој документ, веб-страница, е-пошта и порака на агентот како недоверлив пред да може да обликува цел или повик на алатка.
Проверени компоненти: преглед на вештини, MCP сервери и модели пред усвојување, закачување на верзии и водење на AI-BOM.
Нема небезбедно извршување: забраната eval на излезот на моделот, извршување на кодот во sandbox и никогаш не стартувајте агенти како root.
Чиста меморија: дезинфицирајте го она што влегува во RAG складиштата и долгорочната меморија и одделете ја меморијата по корисник и контекст.
Порта во CI: скенирај го кодот на агентот на секој pull request и мапирајте ги наодите со ASI кодови.
Набљудувајте и содржијте: Евидентирајте ја секоја акција на агентот и повикот на алатката и осигурајте се дека можете брзо да го отповикате секој агент.

Знајте кои агенти ги ангажирате пред да дејствуваат

Топ 10 на OWASP Agentic AI ви ја дава мапата. Првиот потег е ист за сите десет ризици: пронајдете го секој агент, алатка и вештина во вашиот код. Погледнете како Xygeni AI Security ги инвентира вашите агенти и ги мапира наодите со ASI кодовиили резервирај демо.