TL, DR
O que o Top 10 de IA Agente da OWASP significa para o seu negócio? pipeline
Um LLM que afirma algo errado representa um problema de conteúdo. Um agente que executa uma ação incorreta representa um incidente de segurança. O OWASP Agentic AI Top 10 é o mapa para o segundo caso.
- O que é: o Top 10 de IA Agente da OWASP (oficialmente o OWASP Top 10 para Aplicações Agentes 2026A lista de dez riscos específicos para agentes de IA que planejam, acionam ferramentas, armazenam dados e agem em seu nome. Os códigos variam de ASI01 a ASI10.
- Como isso se relaciona: Ela amplia a lista OWASP LLM Top 10, em vez de substituí-la. A lista LLM abrange o que um modelo afirma; a lista agentiva abrange o que um agente faz.
- Onde entra: em um real pipelineEsses riscos chegam por quatro vias: o IDE, componentes de agentes de terceiros, seu próprio código de agente e o ambiente de execução de produção.
- O que você pode pegar: Seis dos dez deixam rastros no código e na configuração, permitindo que você os interrompa antes da implantação. Os outros quatro exigem controles de design em tempo de execução, e cada um deles começa com o conhecimento de quais agentes você está executando.
O primeiro passo: Inventariar cada agente, ferramenta, servidor MCP e habilidade, e então aprovar o novo código do agente no CI com as descobertas associadas aos códigos ASI.
Por que o Top 10 de IA Agente da OWASP é importante: seu pipeline tem novo commitidade
Há um ano, o código em seus repositórios vinha de pessoas. Hoje, uma parcela crescente vem de agentes de IA: assistentes de programação que instalam dependências, agentes que abrem pull requestse frameworks de agentes que são distribuídos dentro dos seus próprios produtos com ferramentas, memória e credenciais próprias. Essa é a mudança para a qual o OWASP Agentic AI Top 10 foi escrito.
Isso altera o modelo de ameaças. Um LLM que indica algo incorreto é um problema de conteúdo. Um agente que realiza uma ação incorreta (exclui dados, vaza um token, instala um pacote malicioso) é um incidente de segurança.
O OWASP Agentic AI Top 10 é o primeiro vocabulário compartilhado para esse segundo tipo de problema. A maioria das explicações para nas definições. Esta mapeia cada risco ao ponto em que ele realmente entra em ação. pipelineE o que você pode fazer a respeito antes da implementação.
O que é o Top 10 de IA Agética da OWASP?
O OWASP Agentic AI Top 10 é uma lista revisada por pares dos dez riscos de segurança mais críticos em agentes de IA: sistemas que planejam, acionam ferramentas, mantêm memória e agem com autoridade delegada. Seu nome oficial é OWASP Agentic AI Top 10. OWASP Top 10 para Aplicações Agentes 2026O projeto de segurança OWASP GenAI publicou-o em 9 de dezembro de 2025, através da sua Iniciativa de Segurança Agenic, que é de onde vem o prefixo ASI.
Ainda é jovem standardEsta é a sua primeira edição. Cada entrada segue o formato familiar da OWASP, com uma descrição, exemplos comuns, cenários de ataque e orientações de prevenção. O principal conselho de design da OWASP permeia todas as dez entradas: evite dar aos agentes mais autonomia do que a tarefa exige e trate a observabilidade como obrigatória.
Top 10 da Agentic vs. Top 10 da LLM
A lista agentiva não substitui a OWASP Top 10 para candidaturas a mestrado em Direito (LLM)Ele se baseia nisso, e suas entradas fazem referência cruzada direta aos riscos do LLM. Uma regra prática simples:
| Dimensão | Top 10 do OWASP LLM | OWASP Agentic AI Top 10 |
|---|---|---|
| Foco | O que diz o modelo | O que o agente faz |
| Falha típica | Uma resposta manipulada ou vazada | Um objetivo, ferramenta ou ação manipulada |
| Aplica-se a | Chatbots, aplicativos RAG, qualquer recurso LLM | Agentes com ferramentas, memória, delegação ou outros agentes |
| códigos | LLM01 a LLM10 | ASI01 a ASI10 |
Se sua candidatura apenas responde a perguntas, a lista de LLM cobre o seu caso. No momento em que ela puder tomar medidas, você precisará de ambas. Nosso guia para ataques de extração de modelo Apresenta em detalhes um dos 10 principais riscos do LLM.
O Top 10 de IA Agente da OWASP, explicado: ASI01 a ASI10 na prática. pipelines
Aqui está cada risco do OWASP Agent AI Top 10 em termos simples, seguido de como ele se manifesta nos códigos-fonte. pipelineComo vemos todos os dias.
ASI01: Sequestro de Objetivo do Agente
Um atacante altera o objetivo do agente por meio da inserção de instruções em um documento, e-mail, página da web ou mensagem de outro agente. Os agentes têm dificuldade em distinguir instruções de conteúdo, portanto, o texto inserido pode redirecionar todo um plano de várias etapas.
Em sua pipeline: um agente que resume pull requests Lê a descrição de uma solicitação de compra contendo instruções ocultas e começa a aprová-la ou a divulgá-la em vez de resumi-la.
ASI02: Uso indevido e exploração de ferramentas
O agente utiliza uma ferramenta que lhe é permitida, mas de forma prejudicial: apagando dados, chamando uma API custosa em loop ou enviando informações. Nenhum privilégio é escalado; o acesso legítimo é simplesmente direcionado para o alvo errado.
Em sua pipeline: Um agente de codificação com acesso ao shell executa um comando de limpeza no diretório errado.
ASI03: Abuso de Identidade e Privilégio
Os agentes herdam credenciais, sessões e funções, e os atacantes exploram essas cadeias de delegação para alcançar o que não conseguiriam alcançar diretamente. A causa principal reside em sistemas de identidade criados para humanos, aplicados a softwares que atuam de forma autônoma.
Em sua pipeline: Uma configuração de agente contém um token de longa duração com escopo em toda a organização, compartilhado por diversas ferramentas.
ASI04: Vulnerabilidades da Cadeia de Suprimentos Agencial
Os modelos, ferramentas, plugins, servidores MCP, habilidades e prompts que os agentes carregam vêm de terceiros, e qualquer um deles pode ser malicioso ou adulterado. Ao contrário das dependências clássicas, os agentes geralmente montam esses componentes em tempo de execução.
Em sua pipeline: Um desenvolvedor instala uma skill de agente com erro tipográfico (typoesquated) cujas instruções dizem ao agente para ler credenciais e publicá-las externamente.
ASI05: Execução de Código Inesperada (RCE)
O agente gera ou aciona código que é executado onde não deveria: comandos de shell, objetos desserializados, mecanismos de modelos, eval na saída do modelo. O resultado pode ser o comprometimento total do host ou do contêiner.
Em sua pipeline: Os resultados do LLM fluem diretamente para evalou um agente carrega um conjunto de dados não confiável com pickle.load.
ASI06: Envenenamento de memória e contexto
Os atacantes inserem dados maliciosos na memória de longo prazo, nos resumos ou nos armazenamentos RAG do agente, de modo que cada ataque futuro...cisO íon está distorcido. Ao contrário de uma injeção pontual, a corrupção persiste entre as sessões.
Em sua pipeline: Um recuperador RAG ingere documentos externos sem sanitização, e uma página contaminada influencia todas as respostas subsequentes.
ASI07: Comunicação insegura entre agentes
Os agentes trocam mensagens sem autenticação, verificação de integridade ou validação, portanto, as mensagens podem ser falsificadas, interceptadas ou alteradas. A mesma instrução também pode ser interpretada de forma diferente por agentes diferentes.
Em sua pipeline: Um agente de planejamento aceita tarefas de qualquer serviço na rede interna que utilize seu protocolo.
ASI08: Falhas em Cascata
Uma falha (uma alucinação, uma memória corrompida, uma ferramenta comprometida) se espalha por agentes e fluxos de trabalho mais rápido do que os humanos conseguem reagir. A OWASP aplica essa categoria quando o dano se alastra para além da brecha original.
Em sua pipeline: Um agente cria uma configuração incorreta, um segundo a implementa e um terceiro a distribui para todas as regiões. Debatemos como conter esse impacto em nosso sistema. Raio de explosão SafeDev Talk.
ASI09: Exploração da confiança entre humanos e agentes
As pessoas confiam em resultados de agentes confiáveis e bem explicados, e atacantes ou projetos falhos exploram essa confiança para direcionar ataques.cisíons. O humano executa a ação final, portanto o papel do agente pode desaparecer do registro de auditoria.
Em sua pipeline: um revisor aprova o trabalho de um agente pull request Porque a explicação parece correta, sem precisar verificar as diferenças.
ASI10: Agentes Renegados
Um agente se desvia de sua função pretendida e continua agindo de forma prejudicial, enganosa ou além do escopo. Cada ação pode parecer legítima; o comportamento geral, porém, não o é. O ASI10 trata da perda de controle após o início do desvio, e não da intrusão inicial.
Em sua pipeline: Um agente continua usando permissões mesmo após o término de sua tarefa, expandindo silenciosamente o que ele controla.
Dos dez riscos, o ASI04 é aquele que a maioria das equipes já enfrenta diariamente: agentes de codificação escolhendo e instalando pacotes sem que ninguém revise o que é instalado. Abordamos exatamente esse assunto em uma palestra recente do SafeDev Talk. Confira!
Onde o Top 10 de IA Agenética da OWASP entra em cena? pipeline
Os dez riscos não chegam por uma única porta. Chegam por quatro, e cada porta precisa de seu próprio controle.
| Ponto de entrada | O que vem dentro | Riscos ASI | Onde parar isso |
|---|---|---|---|
| Ambiente de desenvolvimento integrado (IDE) e estação de trabalho | Agentes de codificação, servidores MCP, habilidades, pacotes que os agentes instalam | ASI04, ASI05 | Na estação de trabalho, antes da instalação |
| Componentes de agentes terceirizados | Modelos, ferramentas, plugins, solicitações de registros | ASI04, ASI06 | Inventário e revisão antes da adoção. |
| Seu próprio código de agente | Estruturas de agentes, prompts, definições de ferramentas, credenciais, RAG pipelines | ASI01, ASI02, ASI03, ASI05, ASI06 | Análise estática, em pull requests e CI |
| Tempo de execução de produção | Agentes agindo, conversando entre si, trabalhando com pessoas. | ASI07, ASI08, ASI09, ASI10 | Arquitetura, monitoramento e interruptores de segurança |
O padrão é importante para a forma como você aplica o OWASP Agentic AI Top 10. As três primeiras portas deixam evidências no código e na configuração, o que significa que você pode encontrá-las e bloqueá-las antes que qualquer coisa seja lançada. A quarta depende do comportamento em tempo de execução, portanto, depende de escolhas de design: agência mínima, mensagens assinadas, aprovação humana para ações de alto impacto e a capacidade de revogar qualquer agente rapidamente.
Até mesmo os controles de tempo de execução dependem de algo que você constrói anteriormente: um inventário. Você não pode colocar um botão de desativação em um agente cuja existência você desconhece.
Como a Xygeni identifica os 10 principais riscos da IA Agentic da OWASP antes da implantação.
Segurança de IA da Xygeni Analisa os componentes de IA utilizados em seus aplicativos, diretamente do código-fonte. Cada resultado inclui sua categoria OWASP LLM Top 10 e, quando aplicável, seu código OWASP Agentic AI Top 10, para que sua equipe e seus auditores interpretem os resultados na mesma linguagem.
A análise do Top 10 de IA Agenética da OWASP começa com o inventário. A Segurança de IA descobre agentes, modelos, ferramentas, servidores MCP, habilidades, prompts, guardrailsO inventário armazena vetores e conjuntos de dados em seus repositórios e mapeia como eles se conectam: qual agente usa qual modelo, executa quais ferramentas e chama quais servidores MCP. O inventário é exportado como um ML-BOM do CycloneDX 1.6.
Segurança de IA da Xygeni
O que a Xygeni detecta antes da implantação, por risco da ASI
Cada descoberta é etiquetada com seu código OWASP, para que sua equipe e seus auditores a leiam na mesma linguagem.
Agente Goal Hijack
Superfícies de injeção imediata, agentes que ingerem conteúdo externo sem higienização, instruções extraídas de registros em rótulos flutuantes.
Uso indevido de ferramentas
Agentes que invocam ferramentas sem entrada de dados guardrailsAlém disso, oferece uma visão individual de cada recurso, como execução de código e execução automática.
Abuso de identidade e privilégio
Credenciais estáticas de longa duração em configurações de agentes, credenciais compartilhadas sem restrição de escopo, servidores MCP e de ferramentas com privilégios elevados e segredos em arquivos de prompts.
Cadeia de suprimentos agenciada
Habilidades maliciosas ou com erros de digitação, com veredicto SEGURO / CUIDADO / NÃO INSTALAR; carregamento de modelo inseguro (trust_remote_code=True); uma lista de materiais de IA para cada componente.
Execução de código inesperada
A contaminação flui da saída do LLM para eval e de conjuntos de dados não confiáveis para pickle.load, em Python e JavaScript; injeção de modelo que leva à execução remota de código (RCE).
Envenenamento de memória e contexto
Recuperadores RAG não sanitizados e vulnerabilidades de vetores e incorporação (LLM08).
Comportamento de tempo de execução
Comunicação entre agentes, falhas em cascata, confiança humana e agentes desonestos surgem em tempo de execução. O Xygeni fornece o inventário e o grafo de relacionamentos dos quais esses controles de tempo de execução dependem.
Em torno desse núcleo:
- Revisão semântica de habilidades e instruções do agente. Uma revisão opcional e reproduzível do LLM avalia a intenção de
SKILL.mdeAGENTS.mdarquivos, detectando instruções maliciosas que consistem apenas em texto e que nenhuma assinatura consegue identificar. Pode ser executado em um modelo auto-hospedado. - É implementado no CI. O
xygeni aiO scanner funciona no seu pipeline e falha na compilação quando existem problemas. Inicie no modo somente relatório e, em seguida, verifique se o problema é crítico. - Segurança dentro do loop do agente. DevAI A Xygeni integra suas análises, triagem e correções ao ambiente de desenvolvimento integrado (IDE) e aos agentes de codificação de IA por meio de... Servidor Xygeni MCP.
- Proteja a estação de trabalho. Shield Bloqueia pacotes maliciosos em máquinas de desenvolvedores antes que eles sejam baixados, independentemente de quem execute a instalação, e atribui cada bloqueio ao processo e comando que o desencadeou.
- Conserte rápido. A triagem por IA prioriza as descobertas e a remediação por IA gera orientações de correção para cada categoria do OWASP LLM.
Lista de verificação de prontidão OWASP Agentic AI Top 10
- inventário: Liste todos os agentes, modelos, ferramentas, servidores MCP e habilidades em seus repositórios e mantenha a lista atualizada em todos os lugares. commit.
- Agência mínima: Conceda a cada agente apenas a autonomia e as ferramentas necessárias para a sua tarefa e exija aprovação humana para ações destrutivas.
- Identidade definida: Substituir credenciais de agente compartilhadas e de longa duração por tokens de curta duração, específicos para cada agente.
- Entrada não confiável: Considere todos os documentos, páginas da web, e-mails e mensagens de agentes como não confiáveis antes que possam influenciar uma meta ou uma chamada de ferramenta.
- Componentes verificados: Analise as habilidades, os servidores e modelos MCP antes da adoção, fixe as versões e mantenha uma lista de materiais de IA (AI-BOM).
- Execução proibida em situações inseguras: banimento
evalEm relação à saída do modelo, execução de código em ambiente de teste e nunca executar agentes como root. - Limpar memória: Higienizar o que entra nos armazenamentos RAG e na memória de longo prazo, e separar a memória por usuário e contexto.
- Portão em CI: escaneie o código do agente em cada pull request e mapear as descobertas para os códigos ASI.
- Observar e conter: Registre todas as ações dos agentes e chamadas de ferramentas e certifique-se de poder revogar o acesso de qualquer agente rapidamente.
Saiba quais agentes você está controlando antes que eles ajam.
O OWASP Agent AI Top 10 fornece o mapa. O primeiro passo é o mesmo para todos os dez riscos: encontrar todos os agentes, ferramentas e habilidades em seu código. Veja como a Xygeni AI Security inventaria seus agentes e mapeia as descobertas para os códigos ASI., ou Agenda uma Demonstração.
Perguntas Frequentes
O que significa ASI no Top 10 de IA Agente da OWASP?
ASI significa Agentic Security Initiative, a equipe do projeto de segurança OWASP GenAI que elaborou a lista. Cada risco possui um código de ASI01 (Agent Goal Hijack) a ASI10 (Rogue Agents), da mesma forma que a lista LLM usa LLM01 a LLM10.
Preciso do OWASP Agent AI Top 10 se já sigo o OWASP LLM Top 10?
Somente se sua IA puder agir. Um chatbot ou aplicativo RAG que apenas responde a perguntas está coberto pelo Top 10 do LLM. Assim que seu aplicativo invoca ferramentas, mantém memória, delega tarefas a outros agentes ou usa credenciais, a lista de agentes abrange riscos que a lista do LLM não cobre.
Será que a análise estática consegue detectar os 10 principais riscos da OWASP Agentic AI?
Para muitos deles, sim. Superfícies vulneráveis a sequestro de objetivos, ferramentas desprotegidas, credenciais com privilégios excessivos, habilidades maliciosas, execução de código inseguro e entradas RAG não sanitizadas deixam evidências no código e na configuração. Riscos que emergem do comportamento em tempo real, como falhas em cascata e agentes maliciosos, exigem controles de tempo de execução adicionais.
