OWASP Agentic AI Top 10 详解：ASI01–ASI10

TL博士

OWASP Agentic AI Top 10 对您的意义 pipeline

如果LLM（语言学习模型）发出错误信息，那就是内容问题。如果智能体执行错误操作，那就是安全事件。OWASP智能体AI十大安全漏洞图谱正是后者的体现。

它是什么： OWASP Agentic AI Top 10（官方名称为 OWASP 2026 年代理应用程序十大安全漏洞该报告列出了人工智能代理（负责规划、调用工具、记忆并代表用户执行操作）特有的十项风险。代码从 ASI01 到 ASI10。
相关关系： 它扩展了 OWASP LLM Top 10 列表，而不是取代它。LLM 列表涵盖模型所描述的内容；代理列表涵盖代理所做的事情。
它进入的位置： 在现实中 pipeline这些风险通过四个途径进入：IDE、第三方代理组件、您自己的代理代码和生产运行时。
你可以钓到什么： 这十种恶意软件中有六种会在代码和配置中留下痕迹，因此您可以在部署前阻止它们。其余四种则需要运行时设计控制，而所有这些控制都始于了解您运行哪些代理。

第一步： 清点每个代理、工具、MCP 服务器和技能，然后根据 ASI 代码标记调查结果，在 CI 中设置新的代理代码。

为什么 OWASP Agentic AI Top 10 如此重要：您的 pipeline 有新的 commitTER值

一年前，你代码仓库里的代码都来自人。而如今，越来越多的代码来自人工智能代理：比如安装依赖项的编码助手，以及打开……的代理。 pull requests以及内置于您自身产品中的代理框架，这些框架拥有自己的工具、内存和凭证。OWASP Agentic AI Top 10 报告正是针对这种转变而编写的。

这改变了威胁模型。LLM（生命周期管理）发出错误信息属于内容问题。而代理执行错误操作（例如删除数据、泄露令牌、安装恶意软件包）则属于安全事件。

OWASP Agentic AI Top 10 是针对第二类问题的首个共享词汇表。大多数解释性文档仅止于定义，而 OWASP Agentic AI Top 10 则将每项风险映射到它实际进入您系统的位置。 pipeline以及在部署之前您可以采取哪些措施。

OWASP Agentic AI Top 10是什么？

OWASP Agentic AI Top 10 是一份经过同行评审的列表，列出了人工智能代理（包括规划、调用工具、保存记忆和以委托权限执行操作的系统）中最关键的十个安全风险。它的正式名称是…… OWASP 2026 年代理应用程序十大安全漏洞OWASP GenAI 安全项目于 2025 年 12 月 9 日通过其智能体安全计划发布了该标准，ASI 前缀即来源于此。

它还很年轻 standard这是该系列的第一版。每个条目都遵循 OWASP 的经典格式，包含描述、常见示例、攻击场景和预防指南。OWASP 的核心设计原则贯穿所有十个条目：避免赋予代理超出任务所需的自主权，并将可观测性视为必要条件。

Agentic 前 10 名 vs. LLM 前 10 名

代理列表并不能取代 OWASP 十大法学硕士申请问题它以此为基础，其条目直接交叉引用LLM风险。一个简单的经验法则：

维度	OWASP 法学硕士前 10 名	OWASP Agentic AI Top 10
专注	模型显示的内容	代理人做什么
典型故障	被操纵或泄露的回应	被操纵的目标、工具调用或行动
适用于	聊天机器人、RAG 应用、任何 LLM 功能	具有工具、内存、委托或其他代理的代理
代码	LLM01 至 LLM10	ASI01 至 ASI10

如果您的申请仅需回答问题，LLM 列表即可满足您的需求。但如果申请需要采取行动，您就需要同时使用两者。我们的指南将指导您如何操作。模型提取攻击深入分析LLM十大风险。

OWASP Agentic AI Top 10 详解：ASI01 至 ASI10 的实际应用 pipelines

以下是OWASP Agentic AI Top 10风险的简要说明，以及它们在代码库中的具体表现形式。 pipeline正如我们每天都能看到的那样。

ASI01：代理目标劫持

攻击者通过在文档、电子邮件、网页或其他代理的消息中注入指令，改变代理试图达成的目标。代理难以区分指令和内容，因此植入的文本可以改变整个多步骤计划。

在您的 pipeline: 一个总结性的代理 pull requests 读取包含隐藏指令的 PR 描述，并开始批准或泄露信息，而不是进行总结。

ASI02：工具误用和利用

该代理使用了它被允许使用的工具，但却以有害的方式进行操作：删除数据、循环调用开销巨大的 API 或发送信息。权限并未提升；合法的访问权限只是指向了错误的目标。

在您的 pipeline: 具有 shell 访问权限的编码代理对错误的目录运行了清理命令。

ASI03：身份和特权滥用

代理程序会继承凭证、会话和角色，攻击者会利用这些委托链来获取他们无法直接获取的信息。问题的根源在于，为人类设计的身份系统被应用于能够自主运行的软件。

在您的 pipeline: 代理配置持有一个具有组织范围的长期令牌，可在多个工具之间共享。

ASI04：代理供应链漏洞

代理加载的模型、工具、插件、MCP 服务器、技能和提示均来自第三方，其中任何一个都可能存在恶意或被篡改的情况。与传统的依赖项不同，代理通常在运行时组装这些组件。

在您的 pipeline: 一名开发者安装了一个拼写错误的代理技能，该技能的指令告诉代理读取凭据并将其发布到外部。

ASI05：意外代码执行 (RCE)

该代理会生成或触发不应该运行的代码：shell 命令、反序列化对象、模板引擎等。 eval 根据模型输出，结果可能导致主机或容器完全被攻破。

在您的 pipeline: LLM 的输出直接流入 eval或者，代理加载了一个不受信任的数据集。 pickle.load.

ASI06：记忆和语境中毒

攻击者会在代理的长期记忆、摘要或 RAG 存储中植入恶意数据，以便将来每次执行操作时都能正常工作。cis离子偏移了。与一次性提示注入不同，这种损坏会跨会话持续存在。

在您的 pipeline: RAG 检索器未经清理就接收外部文档，一个被污染的页面会影响后续的所有答案。

ASI07：不安全的代理间通信

代理之间交换消息时无需进行身份验证、完整性检查或验证，因此消息可能被伪造、拦截或篡改。同一条指令也可能被不同的代理解读出不同的含义。

在您的 pipeline: 规划代理接受来自内部网络上任何支持其协议的服务的任务。

ASI08：级联故障

一个故障（例如幻觉、记忆污染或工具损坏）会以远超人类反应速度的速度扩散到各个代理和工作流程中。OWASP 将此类别应用于损害扩散到原始漏洞之外的情况。

在您的 pipeline: 一个代理编写了一个错误的配置，第二个代理部署了它，第三个代理将其推广到所有区域。我们讨论了如何将这种影响范围控制在我们的系统中。爆炸半径 SafeDev 讨论.

ASI09：人机信任剥削

人们信任那些自信且解释清晰的代理输出，而攻击者或有缺陷的设计则会利用这种信任来操纵决策。cis离子。最终操作由人执行，因此代理人的角色可以从审计跟踪中消失。

在您的 pipeline: 审核员批准了经纪人的 pull request 因为这个解释听起来有道理，无需检查差异。

ASI10：叛变特工

智能体偏离了其预期功能，并持续做出有害、欺骗性或超出权限的行为。每个行为看似合法，但整体行为却并非如此。ASI10 关注的是偏离开始后失去控制的情况，而非最初的入侵行为。

在您的 pipeline: 代理在任务结束后仍继续使用权限，悄悄地扩展其所触及的范围。

在十大风险中，ASI04 是大多数团队每天都会面临的风险：代码代理会自行选择和安装软件包，而没有人对安装的内容进行审查。我们在最近的 SafeDev Talk 中深入探讨了这个问题。快来看看吧！

OWASP Agentic AI Top 10 的切入点在哪里？ pipeline

这十大风险并非通过单一途径进入，而是通过四个途径进入，每个途径都需要单独管控。

入口点	进来了什么	ASI风险	在哪里可以阻止它
开发者集成开发环境和工作站	编码代理、MCP 服务器、技能、代理安装的软件包	ASI04、ASI05	在工作站上，安装之前
第三方代理组件	模型、工具、插件、注册表提示	ASI04、ASI06	采纳前的盘点和审查
您自己的代理代码	代理框架、提示、工具定义、凭证、RAG pipelines	ASI01、ASI02、ASI03 ASI05、ASI06	静态分析，在 pull requests 和CI
生产运行时	特工们行动起来，互相交谈，与人合作	ASI07、ASI08 ASI09、ASI10	架构、监控和紧急停止开关

模式对于如何应用 OWASP Agentic AI Top 10 至关重要。前三道安全门会在代码和配置中留下痕迹，这意味着你可以在任何内容发布之前找到并阻止它们。第四道安全门则取决于运行时行为，因此它依赖于设计选择：最小代理、签名消息、对高影响操作进行人工批准，以及快速撤销任何代理的能力。

即使是运行时控制也依赖于你之前构建的一样东西：清单。你无法给一个你都不知道存在的代理设置终止开关。

Xygeni 如何在部署前捕获 OWASP Agentic AI 十大风险

Xygeni AI 安全直接从源代码扫描应用程序所使用的 AI 组件。每项发现都包含其对应的 OWASP LLM Top 10 类别，并在适用情况下包含其对应的 OWASP Agentic AI Top 10 代码，以便您的团队和审核人员能够以相同的语言解读发现结果。

涵盖 OWASP Agentic AI Top 10 的第一步是进行清单编制。AI 安全会发现代理、模型、工具、MCP 服务器、技能、提示等。 guardrails它涵盖了存储库中的向量存储和数据集，并映射了它们的连接方式：哪个代理使用哪个模型、执行哪些工具以及调用哪些 MCP 服务器。清单导出为 CycloneDX 1.6 ML-BOM。

Xygeni AI 安全

Xygeni 在部署前通过 ASI 风险检测到的问题

每项发现都会贴上 OWASP 代码标签，因此您的团队和审核人员可以用同一种语言来阅读它。

ASI01

特工目标劫持

即时注射表面，代理商未经消毒摄入外部内容，从浮动标签上的注册表中提取提示。

ASI02

工具滥用

无需输入即可调用工具的代理 guardrails此外，还提供按资产查看的功能，例如代码执行和自动执行。

ASI03

身份和特权滥用

代理配置中的静态长期凭据、未缩小范围而共享的凭据、具有提升权限的 MCP 和工具服务器以及提示文件中的密钥。

ASI04

代理供应链

恶意或拼写错误抢注的技能，安全/谨慎/禁止安装；不安全的模型加载（trust_remote_code=True）；每个组件的 AI-BOM。

ASI05

意外代码执行

污染流从LLM输出流入 eval 以及从不受信任的数据集中 pickle.load在 Python 和 JavaScript 中，模板注入会导致远程代码执行 (RCE)。

ASI06

记忆和情境中毒

未经消毒的 RAG 检索器，以及媒介和嵌入弱点（LLM08）。

ASI07 至 ASI10

运行时行为

运行时会出现代理间通信、级联故障、人为信任以及恶意代理等问题。Xygeni 为您提供运行时控制所依赖的清单和关系图。

围绕这个核心：

对技能和代理指令进行语义审查。 一项可选的、可重复的LLM审查旨在判断意图 SKILL.md 和 AGENTS.md 它能捕获仅包含文字的恶意指令，这些指令无法被任何签名识别。它可以在自托管模式下运行。
在持续集成（CI）中进行门控。 此 xygeni ai 扫描仪在您的设备中运行 pipeline 如果发现问题，则构建失败。首先以仅报告模式启动，然后启用“关键”级别。
代理循环内部的安全。 开发人工智能通过以下方式将 Xygeni 的扫描、分类和修复功能引入到 IDE 和 AI 编码代理中： Xygeni MCP 服务器.
保护工作站。 Shield 在开发者机器上下载恶意软件包之前将其拦截，无论谁运行安装程序，并将每次拦截归因于触发它的进程和命令。
快速修复。 AI 分类确定发现问题的优先级，AI 修复为每个 OWASP LLM 类别生成修复指南。

OWASP Agentic AI Top 10 准备情况清单

库存： 列出存储库中的每个代理、模型、工具、MCP 服务器和技能，并保持列表在每个平台上的更新。 commit.
最低限度的自主性： 只赋予每个智能体完成任务所需的自主权和工具，并且对破坏性行为需要人类批准。
作用域标识： 将长期共享的代理凭证替换为短期、每个代理一个令牌。
不受信任的输入： 在确定目标或调用工具之前，请将每个文档、网页、电子邮件和代理消息视为不可信信息。
经过验证的组件： 在采用之前审查技能、MCP 服务器和模型、锁定版本，并保留 AI-BOM。
不会出现不安全执行： 禁止 eval 对模型输出进行沙箱代码执行，并且永远不要以 root 用户身份运行代理。
清理内存： 对进入 RAG 存储和长期记忆的内容进行清理，并按用户和上下文分离记忆。
CI 中的门： 扫描每个代理代码 pull request 并将调查结果映射到 ASI 代码。
观察并控制： 记录每个代理操作和工具调用，并确保您可以快速撤销任何代理的权限。

在特工采取行动之前，了解你正在操控哪些特工。

OWASP Agentic AI Top 10 为你指明方向。应对这十项风险的第一步都是一样的：找出代码中的每一个代理、工具和技能。了解 Xygeni AI Security 如何清点您的代理并将结果映射到 ASI 代码或预订演示.