TL; DR
Co OWASP Agentic AI Top 10 oznacza dla Ciebie pipeline
LLM, który stwierdza błąd, to problem z treścią. Agent, który robi coś źle, to incydent bezpieczeństwa. Mapa OWASP Agentic AI Top 10 to mapa dla drugiego.
- Co to jest: OWASP Agentic AI Top 10 (oficjalnie OWASP Top 10 dla aplikacji agentowych 2026) wymienia dziesięć zagrożeń specyficznych dla agentów AI, którzy planują, uruchamiają narzędzia, przechowują pamięć i działają w Twoim imieniu. Kody zaczynają się od ASI01 i kończą na ASI10.
- Jak to się ma do siebie: Rozszerza listę OWASP LLM Top 10, a nie ją zastępuje. Lista LLM obejmuje informacje o modelu; lista agentów obejmuje informacje o działaniach agenta.
- Gdzie wchodzi: w prawdziwym pipeline, ryzyka te docierają przez cztery strony: IDE, komponenty agentów innych firm, własny kod agenta i środowisko produkcyjne.
- Co możesz złapać: Sześć z dziesięciu pozostawia odciski palców w kodzie i konfiguracji, dzięki czemu można je zatrzymać przed wdrożeniem. Pozostałe cztery wymagają kontroli projektu w czasie wykonywania, a każdy z nich zaczyna się od wiedzy, które agenty są uruchamiane.
Pierwszy krok: zrób inwentaryzację każdego agenta, narzędzia, serwera MCP i umiejętności, a następnie wprowadź nowy kod agenta do CI, przypisując ustalenia do kodów ASI.
Dlaczego 10 najważniejszych rozwiązań OWASP Agentic AI ma znaczenie: Twoje pipeline ma nowy committers
Rok temu kod w repozytoriach pochodził od ludzi. Dziś coraz większa część pochodzi od agentów AI: asystentów kodowania, którzy instalują zależności, agentów, którzy otwierają pull requestsoraz frameworki agentów dostarczane w ramach własnych produktów, wyposażone we własne narzędzia, pamięć i dane uwierzytelniające. Właśnie z myślą o tej zmianie powstał ranking OWASP Agentic AI Top 10.
To zmienia model zagrożenia. LLM, który wskazuje na błąd, to problem z treścią. Agent, który robi coś źle (usuwa dane, ujawnia token, instaluje zatruty pakiet), to incydent bezpieczeństwa.
OWASP Agentic AI Top 10 to pierwszy wspólny słownik dla tego drugiego rodzaju problemów. Większość autorów kończy się na definicjach. Ten zestaw mapuje każde ryzyko do miejsca, w którym faktycznie się pojawia. pipelinei co możesz z tym zrobić przed wdrożeniem.
Czym jest OWASP Agentic AI Top 10?
OWASP Agentic AI Top 10 to recenzowana lista dziesięciu najpoważniejszych zagrożeń bezpieczeństwa w agentach AI: systemach, które planują, wywołują narzędzia, przechowują pamięć i działają z delegowanymi uprawnieniami. Jej oficjalna nazwa to OWASP Top 10 dla aplikacji agentowych 2026Projekt OWASP GenAI Security opublikował go 9 grudnia 2025 r. w ramach inicjatywy Agentic Security Initiative, od której pochodzi prefiks ASI.
To jeszcze młode standard: to pierwsze wydanie. Każdy wpis jest zgodny ze znanym formatem OWASP, z opisem, typowymi przykładami, scenariuszami ataków i wskazówkami dotyczącymi zapobiegania. Główne zalecenia projektowe OWASP przewijają się przez wszystkie dziesięć: należy unikać przyznawania agentom większej autonomii niż wymaga tego zadanie i traktować obserwowalność jako obowiązkową.
10 najlepszych agentów kontra 10 najlepszych LLM
Lista agentów nie zastępuje OWASP Top 10 dla aplikacji LLM. Bazuje na nim, a jego wpisy bezpośrednio odsyłają do ryzyka LLM. Prosta zasada:
| Wymiary | OWASP LLM Top 10 | OWASP Agentic AI Top 10 |
|---|---|---|
| Skupiać | Co mówi model | Co robi agent |
| Typowa awaria | Zmanipulowana lub wyciekła odpowiedź | Zmanipulowany cel, narzędzie lub działanie |
| Dotyczy | Chatboty, aplikacje RAG, wszelkie funkcje LLM | Agenci z narzędziami, pamięcią, delegacją lub innymi agentami |
| Kody | LLM01 do LLM10 | ASI01 do ASI10 |
Jeśli Twoja aplikacja odpowiada tylko na pytania, lista LLM Cię obejmuje. W momencie, gdy będzie mogła podjąć działania, potrzebujesz obu. Nasz przewodnik ataki polegające na ekstrakcji wzorców szczegółowo przedstawia jedno z 10 najważniejszych ryzyk LLM.
OWASP Agentic AI Top 10, wyjaśnienie: ASI01 do ASI10 w rzeczywistości pipelines
Poniżej przedstawiono każde ryzyko z 10 najpopularniejszych zagrożeń OWASP Agentic AI w prostych słowach, a następnie jego wygląd w bazach kodu i pipelinektóre widzimy każdego dnia.
ASI01: Przejęcie celu przez agenta
Atakujący zmienia to, co agent próbuje osiągnąć, wstrzykując instrukcje do dokumentu, wiadomości e-mail, strony internetowej lub wiadomości innego agenta. Agenci mają trudności z odróżnieniem instrukcji od treści, więc wstrzyknięty tekst może zmienić kierunek całego, wieloetapowego planu.
W twoim pipeline: agent, który podsumowuje pull requests odczytuje opis PR zawierający ukryte instrukcje i zaczyna zatwierdzać lub przeciekać zamiast podsumowywać.
ASI02: Niewłaściwe użycie i eksploatacja narzędzi
Agent używa narzędzia, z którego ma prawo korzystać, ale w szkodliwy sposób: usuwa dane, wywołuje kosztowne API w pętli lub wysyła informacje. Żadne uprawnienia nie są eskalowane; legalny dostęp jest po prostu kierowany do niewłaściwego celu.
W twoim pipeline: agent kodujący z dostępem do powłoki uruchamia polecenie czyszczenia w niewłaściwym katalogu.
ASI03: Nadużycie tożsamości i uprawnień
Agenci dziedziczą dane uwierzytelniające, sesje i role, a atakujący wykorzystują te łańcuchy delegacji, aby dotrzeć do tego, do czego nie mogli dotrzeć bezpośrednio. Podstawową przyczyną są systemy tożsamości stworzone dla ludzi, stosowane w oprogramowaniu, które działa samodzielnie.
W twoim pipeline: konfiguracja agenta przechowuje długotrwały token o zasięgu obejmującym całą organizację, współdzielony przez kilka narzędzi.
ASI04: Luki w łańcuchu dostaw agentów
Modele, narzędzia, wtyczki, serwery MCP, umiejętności i monity ładowane przez agentów pochodzą od podmiotów zewnętrznych i każdy z nich może być złośliwy lub zmodyfikowany. W przeciwieństwie do klasycznych zależności, agenci często składają te komponenty w czasie wykonywania.
W twoim pipeline: programista instaluje typosquatted umiejętność agenta, której instrukcje nakazują agentowi odczytanie danych uwierzytelniających i przesłanie ich na zewnątrz.
ASI05: Nieoczekiwane wykonanie kodu (RCE)
Agent generuje lub uruchamia kod, który działa tam, gdzie nie powinien: polecenia powłoki, obiekty deserializowane, silniki szablonów, eval na wyjściu modelu. Rezultatem może być pełne naruszenie hosta lub kontenera.
W twoim pipeline: Wyniki LLM trafiają bezpośrednio do evallub agent ładuje niezaufany zestaw danych pickle.load.
ASI06: Zatrucie pamięci i kontekstu
Napastnicy zapełniają pamięć długoterminową agenta, podsumowania lub magazyny RAG złośliwymi danymi, dzięki czemu każda przyszła próbacisjon jest przekrzywiony. W przeciwieństwie do jednorazowego, natychmiastowego wstrzyknięcia, uszkodzenie utrzymuje się między sesjami.
W twoim pipeline: program do pobierania RAG pobiera zewnętrzne dokumenty bez ich oczyszczania, a jedna zatruta strona kształtuje każdą następną odpowiedź.
ASI07: Niebezpieczna komunikacja między agentami
Agenci wymieniają wiadomości bez uwierzytelniania, kontroli integralności ani walidacji, co oznacza, że wiadomości mogą zostać podrobione, przechwycone lub zmienione. Ta sama instrukcja może być również odczytywana inaczej przez różnych agentów.
W twoim pipeline: agent planisty akceptuje zadania od dowolnej usługi w sieci wewnętrznej, która obsługuje jego protokół.
ASI08: Kaskadowe awarie
Jeden błąd (halucynacja, zatrute wspomnienie, zainfekowane narzędzie) rozprzestrzenia się na agentów i przepływy pracy szybciej, niż ludzie są w stanie zareagować. OWASP stosuje tę kategorię, gdy szkody rozprzestrzeniają się poza pierwotne naruszenie.
W twoim pipeline: Jeden agent pisze błędną konfigurację, drugi ją wdraża, a trzeci udostępnia ją w każdym regionie. Zastanawialiśmy się, jak ograniczyć ten promień rażenia w naszym Blast Radius SafeDev Talk.
ASI09: Wykorzystanie zaufania między człowiekiem a agentem
Ludzie ufają pewnym, dobrze wyjaśnionym wynikom agenta, a atakujący lub wadliwe projekty wykorzystują to zaufanie, aby nimi sterować.cisJony. Człowiek wykonuje ostatnią czynność, więc rola agenta może zniknąć ze ścieżki audytu.
W twoim pipeline: recenzent zatwierdza agenta pull request ponieważ wyjaśnienie wydaje się słuszne, bez sprawdzania różnic.
ASI10: Nieuczciwi agenci
Agent odchodzi od swojej zamierzonej funkcji i nadal działa szkodliwie, zwodniczo lub poza zakresem. Każde działanie może wydawać się uzasadnione, ale ogólne zachowanie takie nie jest. ASI10 dotyczy utraty kontroli po rozpoczęciu odejścia, a nie początkowej ingerencji.
W twoim pipeline: agent nadal korzysta z uprawnień po zakończeniu zadania, po cichu rozszerzając zakres wykonywanych czynności.
Spośród dziesięciu zagrożeń, ASI04 to to, z którym większość zespołów mierzy się już każdego dnia: agenci kodujący wybierają i instalują pakiety, a nikt nie sprawdza, co się do nich dostanie. Dokładnie to omówiliśmy w niedawnym wystąpieniu SafeDev Talk. Zobacz!
Gdzie OWASP Agentic AI Top 10 wchodzi do Twojej listy pipeline
Dziesięć zagrożeń nie prowadzi przez jedne drzwi. Prowadzi przez cztery, a każde z nich wymaga osobnej kontroli.
| Punkt wejścia | Co wchodzi | Ryzyko ASI | Gdzie to zatrzymać |
|---|---|---|---|
| IDE i stacja robocza dla programistów | Agenty kodujące, serwery MCP, umiejętności, pakiety instalowane przez agentów | ASI04, ASI05 | Na stacji roboczej przed instalacją |
| Komponenty agentów zewnętrznych | Modele, narzędzia, wtyczki, monity z rejestrów | ASI04, ASI06 | Inwentaryzacja i przegląd przed przyjęciem |
| Twój własny kod agenta | Struktury agentów, monity, definicje narzędzi, poświadczenia, RAG pipelines | ASI01, ASI02, ASI03, ASI05, ASI06 | Analiza statyczna, w pull requests i CI |
| Czas realizacji produkcji | Agenci działają, rozmawiają ze sobą, współpracują z ludźmi | ASI07, ASI08, ASI09, ASI10 | Architektura, monitorowanie i wyłączniki awaryjne |
Ten wzór ma znaczenie dla sposobu zastosowania OWASP Agentic AI Top 10. Pierwsze trzy drzwi pozostawiają ślady w kodzie i konfiguracji, co oznacza, że można je znaleźć i zablokować, zanim cokolwiek zostanie wysłane. Czwarte drzwi zależą od zachowania w czasie wykonywania, a zatem opierają się na wyborach projektowych: minimalnym zaangażowaniu agencji, podpisanych wiadomościach, ludzkiej akceptacji działań o dużym znaczeniu oraz możliwości szybkiego odwołania dowolnego agenta.
Nawet sterowanie w czasie wykonywania zależy od jednej rzeczy, którą wcześniej utworzysz: inwentarza. Nie możesz wyłączyć agenta, o którego istnieniu nie wiesz.
Jak Xygeni wykrywa 10 największych zagrożeń OWASP Agentic AI przed wdrożeniem
Bezpieczeństwo sztucznej inteligencji Xygeni Skanuje komponenty AI, z których zbudowane są Twoje aplikacje, bezpośrednio z kodu źródłowego. Każde odkrycie ma przypisaną kategorię OWASP LLM Top 10 oraz, w stosownych przypadkach, kod OWASP Agentic AI Top 10, dzięki czemu Twój zespół i audytorzy odczytują odkrycia w tym samym języku.
Omówienie 10 najlepszych rozwiązań OWASP Agentic AI zaczyna się od inwentaryzacji. Bezpieczeństwo AI wykrywa agentów, modele, narzędzia, serwery MCP, umiejętności, monity, guardrails, magazyny wektorowe i zestawy danych w Twoich repozytoriach oraz mapuje ich połączenia: który agent używa którego modelu, uruchamia które narzędzia i wywołuje które serwery MCP. Inwentarz jest eksportowany jako CycloneDX 1.6 ML-BOM.
Bezpieczeństwo sztucznej inteligencji Xygeni
Co Xygeni wykrywa przed wdrożeniem, według ryzyka ASI
Każde ustalenie jest oznaczone kodem OWASP, dzięki czemu Twój zespół i audytorzy będą mogli je odczytać w tym samym języku.
Przejęcie celu przez agenta
Natychmiastowe powierzchnie iniekcyjne, agenci pobierający zewnętrzną zawartość bez dezynfekcji, monity pobierane z rejestrów na pływających etykietach.
Niewłaściwe użycie narzędzi
Agenci wywołujący narzędzia bez danych wejściowych guardrailsoraz widok poszczególnych zasobów, obejmujący takie funkcje, jak wykonywanie kodu i automatyczne wykonywanie.
Nadużycia tożsamości i przywilejów
Statyczne, długotrwałe poświadczenia w konfiguracjach agentów, poświadczenia współdzielone bez zawężania zakresu, serwery MCP i narzędzi z podwyższonymi uprawnieniami oraz sekrety w plikach monitowych.
Agentowy łańcuch dostaw
Złośliwe lub typosquattingowe umiejętności z werdyktem BEZPIECZNE/UWAGA/NIE_INSTALUJ; niebezpieczne ładowanie modelu (trust_remote_code=True); AI-BOM każdego komponentu.
Nieoczekiwane wykonanie kodu
Przepływ zanieczyszczeń z wyników LLM do eval i z niepewnych zestawów danych do pickle.load, w Pythonie i JavaScript; wstrzykiwanie szablonu prowadzące do RCE.
Zatrucie pamięci i kontekstu
Niezdezynfekowane urządzenia do pobierania RAG oraz słabości wektorów i osadzania (LLM08).
Zachowanie w czasie wykonywania
Komunikacja między agentami, kaskadowe awarie, zaufanie ludzkie i agenci-nieuczciwi pojawiają się w czasie wykonywania. Xygeni zapewnia inwentaryzację i wykres relacji, od których zależą te elementy sterujące w czasie wykonywania.
Wokół tego rdzenia:
- Przegląd semantyczny umiejętności i instrukcji agentów. Opcjonalny, powtarzalny przegląd LLM ocenia intencję
SKILL.mdorazAGENTS.mdPliki, wychwytując złośliwe instrukcje, które nie mają podpisu i są dostępne tylko w prozie. Może działać w modelu hostowanym samodzielnie. - Bramka w CI.
xygeni aiskaner działa w Twoim pipeline i kończy kompilację niepowodzeniem, gdy istnieją wyniki. Uruchom w trybie tylko raportowania, a następnie bramka w stanie krytycznym. - Bezpieczeństwo wewnątrz pętli agenta. DevAI wprowadza skanowanie, selekcję i poprawki Xygeni do środowiska IDE i agentów kodujących AI za pośrednictwem Serwer MCP Xygeni.
- Chroń stanowisko pracy. Shield blokuje złośliwe pakiety na komputerach deweloperów jeszcze przed ich pobraniem, niezależnie od tego, kto uruchamia instalację, oraz przypisuje każdą blokadę procesowi i poleceniu, które ją wywołało.
- Napraw szybko. Funkcja AI Triage nadaje priorytet ustaleniom, a funkcja AI Remediation generuje wytyczne dotyczące rozwiązań dla każdej kategorii OWASP LLM.
Lista kontrolna gotowości OWASP Agentic AI Top 10
- Inwentarz: wypisz każdego agenta, model, narzędzie, serwer MCP i umiejętność w swoich repozytoriach i utrzymuj tę listę aktualną na każdym etapie commit.
- Najmniejsza agencja: dawać każdemu agentowi tylko taką autonomię i narzędzia, jakich potrzebuje do wykonania danego zadania, a do działań destrukcyjnych wymagać zgody człowieka.
- Tożsamość zakresowa: zastąpić trwałe, współdzielone dane uwierzytelniające agentów krótkotrwałymi tokenami dla każdego agenta.
- Niepewne dane wejściowe: traktuj każdy dokument, stronę internetową, wiadomość e-mail i wiadomość agenta jako niewiarygodną, zanim będzie mogła wpłynąć na cel lub wywołać narzędzie.
- Sprawdzone komponenty: przejrzyj umiejętności, serwery MCP i modele przed wdrożeniem, przypnij wersje i utwórz AI-BOM.
- Brak niebezpiecznego wykonania: zakaz
evalna wyjściu modelu, wykonuj kod w piaskownicy i nigdy nie uruchamiaj agentów jako root. - Wyczyść pamięć: oczyszczanie danych trafiających do magazynów RAG i pamięci długotrwałej oraz rozdzielanie pamięci według użytkownika i kontekstu.
- Brama w CI: skanuj kod agenta na każdym pull request i mapowanie ustaleń do kodów ASI.
- Obserwuj i powstrzymuj: rejestruj każdą czynność agenta i wywołanie narzędzia, aby mieć pewność, że możesz szybko odwołać uprawnienia dowolnego agenta.
Dowiedz się, z którymi agentami współpracujesz, zanim podejmą działania
Mapa OWASP Agentic AI Top 10 pokazuje, jak to zrobić. Pierwszy krok jest taki sam dla wszystkich dziesięciu zagrożeń: znajdź każdego agenta, narzędzie i umiejętność w swoim kodzie. Zobacz, jak Xygeni AI Security inwentaryzuje agentów i mapuje wyniki na kody ASIlub zarezerwować demo.
FAQ
Co oznacza skrót ASI w rankingu OWASP Agentic AI Top 10?
ASI to skrót od Agentic Security Initiative, zespołu OWASP GenAI Security Project, który stworzył listę. Każde zagrożenie ma kod od ASI01 (Agent Goal Hijack) do ASI10 (Rogue Agents), tak samo jak lista LLM używa kodów od LLM01 do LLM10.
Czy muszę korzystać z listy OWASP Agentic AI Top 10, jeśli korzystam już z listy OWASP LLM Top 10?
Tylko jeśli Twoja sztuczna inteligencja potrafi działać. Chatbot lub aplikacja RAG, która po prostu odpowiada na pytania, znajduje się w pierwszej dziesiątce listy LLM. Gdy Twoja aplikacja wywołuje narzędzia, przechowuje pamięć, deleguje zadania innym agentom lub korzysta z danych uwierzytelniających, lista agentów obejmuje ryzyka, których nie uwzględnia lista LLM.
Czy analiza statyczna może wykryć 10 największych zagrożeń OWASP Agentic AI?
Dla wielu z nich – tak. Przechwytywanie celów, niezabezpieczone narzędzia, nadmiernie uprzywilejowane dane uwierzytelniające, złośliwe umiejętności, niebezpieczne wykonywanie kodu i niesprawdzone dane wejściowe RAG – wszystko to pozostawia ślady w kodzie i konfiguracji. Zagrożenia wynikające z działania na żywo, takie jak kaskadowe awarie i nieuczciwi agenci, wymagają dodatkowych kontroli w czasie wykonywania.
