TL; DR
Hva OWASP Agentic AI Topp 10 betyr for deg pipeline
En LLM som sier noe galt er et innholdsproblem. En agent som gjør noe galt er en sikkerhetshendelse. OWASP Agentic AI Topp 10 er kartet for den andre.
- Hva det er: OWASP Agentic AI Topp 10 (offisielt OWASP Topp 10 for Agentic-applikasjoner 2026) lister opp ti risikoer som er spesifikke for AI-agenter som planlegger, kaller verktøy, lagrer minne og handler på dine vegne. Kodene går fra ASI01 til ASI10.
- Hvordan det relaterer seg: Den utvider OWASP LLM Topp 10 i stedet for å erstatte den. LLM-listen dekker hva en modell sier; agentlisten dekker hva en agent gjør.
- Hvor den kommer inn: i en ekte pipeline, disse risikoene kommer gjennom fire dører: IDE-et, tredjeparts agentkomponenter, din egen agentkode og produksjonskjøretid.
- Hva du kan fange: Seks av ti legger igjen fingeravtrykk i kode og konfigurasjon, slik at du kan stoppe dem før utrulling. De fire andre trenger designkontroller for kjøretid, og hver av disse starter med å vite hvilke agenter du kjører.
Det første steget: Lag en inventaris over alle agenter, verktøy, MCP-servere og ferdigheter, og loggfør deretter ny agentkode i CI med funn merket med ASI-koder.
Hvorfor OWASP Agentic AI Topp 10 er viktig: din pipeline har nytt committers
For et år siden kom koden i repositoriene deres fra mennesker. I dag kommer en økende andel fra AI-agenter: kodeassistenter som installerer avhengigheter, agenter som åpner pull requests, og agentrammeverk som leveres i dine egne produkter med verktøy, minne og legitimasjon. Det er dette skiftet OWASP Agentic AI Top 10 ble skrevet for.
Det endrer trusselmodellen. En LLM som sier at noe er galt er et innholdsproblem. En agent som gjør noe galt (sletter data, lekker et token, installerer en forgiftet pakke) er en sikkerhetshendelse.
OWASP Agentic AI Top 10 er det første delte vokabularet for den andre typen problem. De fleste forklaringer stopper ved definisjoner. Denne kartlegger hver risiko til stedet den faktisk kommer inn i din pipeline, og hva du kan gjøre med det før utplassering.
Hva er OWASP Agentic AI Topp 10?
OWASP Agentic AI Top 10 er en fagfellevurdert liste over de ti mest kritiske sikkerhetsrisikoene i AI-agenter: systemer som planlegger, kaller verktøy, lagrer minne og handler med delegert myndighet. Det offisielle navnet er OWASP Topp 10 for Agentic-applikasjoner 2026OWASP GenAI Security Project publiserte den 9. desember 2025, gjennom sitt Agentic Security Initiative, som er der ASI-prefikset kommer fra.
Det er fortsatt en ung standardDette er den første utgaven. Hver oppføring følger det kjente OWASP-formatet, med en beskrivelse, vanlige eksempler, angrepsscenarier og veiledning om forebygging. OWASPs sentrale designråd går gjennom alle ti: unngå å gi agenter mer autonomi enn oppgaven trenger, og behandle observerbarhet som obligatorisk.
Agentic Topp 10 vs. LLM Topp 10
Agentlisten erstatter ikke OWASP Topp 10 for LLM-applikasjonerDen bygger på den, og oppføringene kryssrefererer direkte til LLM-risikoer. En enkel tommelfingerregel:
| Dimensjon | OWASP LLM Topp 10 | OWASP Agentic AI Topp 10 |
|---|---|---|
| Fokus | Hva modellen sier | Hva agenten gjør |
| Typisk feil | Et manipulert eller lekket svar | Et manipulert mål, verktøyanrop eller handling |
| Gjelder | Chatboter, RAG-apper, alle LLM-funksjoner | Agenter med verktøy, minne, delegering eller andre agenter |
| Koder | LLM01 til LLM10 | ASI01 til ASI10 |
Hvis søknaden din bare svarer på spørsmål, dekker LLM-listen deg. I det øyeblikket den kan iverksette tiltak, trenger du begge deler. Vår guide til modellutvinningsangrep viser én LLM Topp 10-risiko i dybden.
OWASP Agentic AI Topp 10, forklart: ASI01 til ASI10 i virkeligheten pipelines
Her er hver risiko i OWASP Agentic AI Topp 10 i enkle ordelag, etterfulgt av hvordan den ser ut i kodebasene og pipelinesom vi ser hver dag.
ASI01: Kapring av agentmål
En angriper endrer hva agenten prøver å oppnå gjennom injiserte instruksjoner i et dokument, en e-post, en nettside eller en annen agents melding. Agenter sliter med å skille instruksjoner fra innhold, så plantet tekst kan omdirigere en hel flertrinnsplan.
I din pipeline: en agent som oppsummerer pull requests leser en PR-beskrivelse som inneholder skjulte instruksjoner, og begynner å godkjenne eller lekke i stedet for å oppsummere.
ASI02: Misbruk og utnyttelse av verktøy
Agenten bruker et verktøy den har tillatelse til å bruke, men på en skadelig måte: sletter data, kaller et kostbart API i en løkke eller sender ut informasjon. Ingen privilegier eskaleres; legitim tilgang rettes ganske enkelt mot feil mål.
I din pipeline: En kodeagent med skalltilgang kjører en oppryddingskommando mot feil katalog.
ASI03: Misbruk av identitet og privilegier
Agenter arver legitimasjonsinformasjon, økter og roller, og angripere utnytter disse delegeringskjedene for å nå det de ikke kunne nå direkte. Den underliggende årsaken er identitetssystemer bygget for mennesker, brukt på programvare som fungerer på egenhånd.
I din pipeline: En agentkonfigurasjon inneholder et langvarig token med organisasjonsomfattende omfang, som deles på tvers av flere verktøy.
ASI04: Sårbarheter i agentforsyningskjeden
Modellene, verktøyene, programtilleggene, MCP-serverne, ferdighetene og ledetekstene som agenter laster inn kommer fra tredjeparter, og alle disse kan være skadelige eller tuklet med. I motsetning til klassiske avhengigheter, setter agenter ofte sammen disse komponentene under kjøring.
I din pipeline: En utvikler installerer en typosquatted agentferdighet hvis instruksjoner forteller agenten at den skal lese legitimasjonsinformasjon og legge dem ut eksternt.
ASI05: Uventet kodekjøring (RCE)
Agenten genererer eller utløser kode som kjører der den ikke skal: skallkommandoer, deserialiserte objekter, malmotorer, eval på modellutdata. Resultatet kan bli fullstendig vert eller containerkompromittert.
I din pipeline: LLM-utdata flyter rett inn i eval, eller en agent laster inn et upålitelig datasett med pickle.load.
ASI06: Minne- og kontekstforgiftning
Angripere sår agentens langtidshukommelse, sammendrag eller RAG-lagre med skadelige data, slik at alle fremtidige decisionen er skjev. I motsetning til en engangs promptinjeksjon, vedvarer korrupsjonen på tvers av økter.
I din pipeline: En RAG-henter inntar eksterne dokumenter uten rensing, og én forgiftet side former hvert svar som følger.
ASI07: Usikker kommunikasjon mellom agenter
Agenter utveksler meldinger uten autentisering, integritetssjekker eller validering, slik at meldinger kan forfalskes, avlyttes eller endres. Den samme instruksjonen kan også leses forskjellig av forskjellige agenter.
I din pipeline: En planleggeragent godtar oppgaver fra enhver tjeneste på det interne nettverket som snakker protokollen sin.
ASI08: Kaskadefeil
Én feil (en hallusinasjon, et forgiftet minne, et kompromittert verktøy) sprer seg raskere på tvers av agenter og arbeidsflyter enn mennesker kan reagere. OWASP bruker denne kategorien når skaden sprer seg utover det opprinnelige bruddet.
I din pipeline: én agent skriver en dårlig konfigurasjon, en annen distribuerer den, og en tredje ruller den ut til alle regioner. Vi diskuterte hvordan vi skulle begrense den eksplosjonsradiusen i vår Blast Radius SafeDev-snakk.
ASI09: Utnyttelse av tillit mellom mennesker og agenter
Folk stoler på trygge, godt forklarte agentresultater, og angripere eller feilaktige design utnytter denne tilliten til å styrecisioner. Mennesket utfører den siste handlingen, slik at agentens rolle kan forsvinne fra revisjonssporet.
I din pipeline: en anmelder godkjenner en agents pull request fordi forklaringen høres riktig ut, uten å sjekke diff.
ASI10: Uærlige agenter
En agent avviker fra sin tiltenkte funksjon og fortsetter å handle skadelig, villedende eller utenfor rekkevidde. Hver handling kan se legitim ut; den overordnede oppførselen er det ikke. ASI10 handler om å miste kontroll etter at avviket starter, ikke om den første inntrengingen.
I din pipeline: en agent fortsetter å bruke tillatelser etter at oppgaven er ferdig, og utvider i stillhet det den berører.
Av de ti risikoene er ASI04 den de fleste team allerede står overfor hver dag: kodeagenter som velger og installerer pakker uten at noen gjennomgår hva som kommer inn. Vi fordypet oss i nettopp det i en nylig SafeDev Talk. Ta en titt!
Hvor OWASP Agentic AI Topp 10 kommer inn i din pipeline
De ti risikoene kommer ikke gjennom én dør. De kommer gjennom fire, og hver dør trenger sin egen kontroll.
| Inngangspunkt | Hva som kommer inn | ASI-risikoer | Hvor skal man stoppe det |
|---|---|---|---|
| Utvikler-IDE og arbeidsstasjon | Kodeagenter, MCP-servere, ferdigheter, pakker som agenter installerer | ASI04, ASI05 | På arbeidsstasjonen, før installasjon |
| Komponenter for tredjepartsagenter | Modeller, verktøy, plugins, ledetekster fra registre | ASI04, ASI06 | Inventar og gjennomgang før adopsjon |
| Din egen agentkode | Agentrammeverk, ledetekster, verktøydefinisjoner, legitimasjon, RAG pipelines | ASI01, ASI02, ASI03 ASI05, ASI06 | Statisk analyse, i pull requests og CI |
| Produksjonskjøretid | Agenter opptrer, snakker med hverandre, jobber med mennesker | ASI07, ASI08, ASI09, ASI10 | Arkitektur, overvåking og kill switcher |
Mønsteret er viktig for hvordan du bruker OWASP Agentic AI Top 10. De tre første dørene etterlater bevis i kode og konfigurasjon, noe som betyr at du kan finne og blokkere dem før noe sendes. Den fjerde avhenger av kjøretidsatferd, så den er avhengig av designvalg: minst mulig byrå, signerte meldinger, menneskelig godkjenning for handlinger med stor innvirkning og muligheten til å tilbakekalle enhver agent raskt.
Selv kjøretidskontrollene er avhengige av én ting du bygger tidligere: et inventar. Du kan ikke sette en kill switch på en agent du ikke vet eksisterer.
Hvordan Xygeni fanger opp OWASP Agentic AI Topp 10-risikoer før utrulling
Xygeni AI-sikkerhet skanner AI-komponentene applikasjonene dine er bygget med, direkte fra kildekoden. Hvert funn har sin OWASP LLM Topp 10-kategori og, der det er aktuelt, sin OWASP Agentic AI Topp 10-kode, slik at teamet ditt og revisorene dine leser funnene på samme språk.
Å dekke OWASP Agentic AI Topp 10 starter med inventaret. AI-sikkerhet oppdager agenter, modeller, verktøy, MCP-servere, ferdigheter, ledetekster, guardrails, vektorlagre og datasett på tvers av databasene dine, og kartlegger hvordan de kobler seg til: hvilken agent som bruker hvilken modell, kjører hvilke verktøy og kaller hvilke MCP-servere. Inventaret eksporteres som en CycloneDX 1.6 ML-BOM.
Xygeni AI-sikkerhet
Hva Xygeni oppdager før utrulling, etter ASI-risiko
Hvert funn er merket med sin OWASP-kode, slik at teamet ditt og revisorene dine leser det på samme språk.
Agentmålkapring
Injeksjonsflater som blir presentert, agenter som inntar eksternt innhold uten desinfisering, meldinger hentet fra registre på flytende etiketter.
Misbruk av verktøy
Verktøyaktiverende agenter uten inndata guardrails, pluss en visning per aktivum av funksjoner som kodekjøring og automatisk kjøring.
Misbruk av identitet og privilegier
Statiske langvarige legitimasjonsopplysninger i agentkonfigurasjoner, legitimasjonsopplysninger delt uten omfangsinnsnevring, MCP- og verktøyservere med utvidede rettigheter og hemmeligheter i ledetekstfiler.
Agentforsyningskjede
Ondsinnede eller skrivefeilstyrte ferdigheter, med en SIKKER / FORSIKTIG / IKKE_INSTALLER-dom; usikker modellinnlasting (trust_remote_code=True); en AI-BOM for hver komponent.
Uventet kodekjøring
Fare flyter fra LLM-utgang inn i eval og fra upålitelige datasett inn i pickle.load, i Python og JavaScript; malinjeksjon som fører til RCE.
Minne- og kontekstforgiftning
Usanitiserte RAG-hentere, og vektor- og innebyggingssvakheter (LLM08).
Kjøretidsoppførsel
Interagentkommunikasjon, kaskadesvikt, menneskelig tillit og uvedkommende agenter dukker opp under kjøretid. Xygeni gir deg inventar- og relasjonsgrafen som disse kjøretidskontrollene er avhengige av.
Rundt den kjernen:
- Semantisk gjennomgang av ferdigheter og agentinstruksjoner. En valgfri, reproduserbar LLM-gjennomgang bedømmer intensjonen med
SKILL.mdogAGENTS.mdfiler, og fanger opp ondsinnede instruksjoner i prosa som ingen signatur kan se. Den kan kjøre på en selvhostet modell. - Sett den i CI. Ocuco
xygeni aiskanneren kjører i din pipeline og feiler når det finnes funn. Start i rapportmodus, og aktiver deretter kritisk modus. - Sikkerhet i agentsløyfen. DevAI bringer Xygeni-skanninger, triage og reparasjoner inn i IDE-en og inn i AI-kodingsagenter gjennom Xygeni MCP-server.
- Beskytt arbeidsstasjonen. Shield blokkerer skadelige pakker på utviklermaskiner før de laster ned, den som kjører installasjonen, og tilskriver hver blokkering til prosessen og kommandoen som utløste den.
- Fiks raskt. AI Triage prioriterer funn, og AI Remediation genererer veiledning om utbedring for hver OWASP LLM-kategori.
OWASP Agentic AI Topp 10-sjekkliste for beredskap
- Inventar: List opp alle agenter, modeller, verktøy, MCP-servere og ferdigheter i repositoriene dine, og hold listen oppdatert på alle commit.
- Minste byrå: gi hver agent kun den autonomien og de verktøyene oppgaven trenger, og kreve menneskelig godkjenning for destruktive handlinger.
- Omfattet identitet: erstatt langvarig, delt agentlegitimasjon med kortvarige tokener per agent.
- Upålitelig inndata: Behandle alle dokumenter, nettsider, e-poster og agentmeldinger som uklarerte før de kan forme et mål eller en verktøysamtale.
- Kontrollerte komponenter: gjennomgå ferdigheter, MCP-servere og modeller før adopsjon, pinne versjoner og føre en AI-BOM.
- Ingen usikker utførelse: forby
evalpå modellutdata, kjøring av sandkassekode og aldri kjør agenter som root. - Rent minne: rengjøre det som kommer inn i RAG-lagre og langtidsminnet, og skille minnet etter bruker og kontekst.
- Port i CI: skann agentkode på hver pull request og tilordne funn til ASI-koder.
- Observer og innhold: loggfør alle agenthandlinger og verktøykall, og sørg for at du raskt kan tilbakekalle enhver agent.
Vit hvilke agenter du bruker før de handler
OWASP Agentic AI Top 10 gir deg kartet. Det første trekket er det samme for alle ti risikoer: finn alle agenter, verktøy og ferdigheter i koden din. Se hvordan Xygeni AI Security lager en oversikt over agentene dine og tilordner funn til ASI-kodereller bestill en demo.
Spørsmål og svar
Hva står ASI for i OWASP Agentic AI Topp 10?
ASI står for Agentic Security Initiative, OWASP GenAI Security Project-teamet som skrev listen. Hver risiko har en kode fra ASI01 (Agent Goal Hijack) til ASI10 (Rogue Agents), på samme måte som LLM-listen bruker LLM01 til LLM10.
Trenger jeg OWASP Agentic AI Topp 10 hvis jeg allerede følger OWASP LLM Topp 10?
Bare hvis din AI kan handle. En chatbot eller RAG-app som bare svarer på spørsmål er dekket av LLM Top 10. Når applikasjonen din kaller verktøy, beholder minne, delegerer til andre agenter eller bruker legitimasjon, dekker agentlisten risikoer som LLM-listen ikke gjør.
Kan statisk analyse oppdage de 10 viktigste risikoene i OWASP Agentic AI?
For mange av dem, ja. Overflater for målkapring, ubeskyttede verktøy, overprivilegerte påloggingsinformasjoner, ondsinnede ferdigheter, usikker kodekjøring og usaniserte RAG-inndata etterlater alle bevis i kode og konfigurasjon. Risikoer som oppstår fra live-atferd, for eksempel kaskadefeil og uønskede agenter, trenger kjøretidskontroller i tillegg.
