OWASP《Top 10 for Agentic Applications 2026》

← 返回目录

分级：【对照正文】（核心十条 + 每条的缓解措施；附录 A–E 查阅型即可）——Agent 专用的十大风险分类。

原文：https://genai.owasp.org（OWASP GenAI Security Project · Agentic Security Initiative，2026 版） 一句话：每条配真实攻击场景与可落地的缓解措施，是目前最贴合”会自己调工具、多步执行”的 Agent 安全基线。

• 前提判断：Agent 放大了已有漏洞。Agent 会跨多步、多系统规划和行动，且模型分不清”指令”和”内容”——所有自然语言输入（用户文本、上传文档、检索内容、工具回包、别的 Agent 发来的消息）都可能藏指令。这是全部十条的共同根因，也是它和 LLM Top 10 的分工：LLM01 讲单次回答被带偏，ASI01 讲目标、规划、多步行为被整体劫持。
• 十条：ASI01 目标劫持、ASI02 工具误用与利用、ASI03 身份与权限滥用、ASI04 Agent 供应链漏洞、ASI05 非预期代码执行（RCE）、ASI06 记忆与上下文投毒、ASI07 Agent 间通信不安全、ASI08 级联故障、ASI09 人机信任利用、ASI10 流氓 Agent。每条都给了真实事件锚点：EchoLeak（一封邮件触发 M365 Copilot 外泄邮件/文件/聊天记录、无需用户交互）、AgentFlayer（针对 ChatGPT 用户的 0 点击 inception 攻击）、GitHub Copilot 与 Cursor 案例在 incidents tracker 中存在。
• 对 Stone 最有用的做法，集中在 ASI01–ASI03 的缓解措施里，而且思路一致：防线必须建在模型之外，不要指望更聪明的过滤器：
  • 所有自然语言输入按不可信处理：进入目标选择、规划、工具调用之前，先过输入验证与注入防护；RAG 输入、邮件、日历邀请、上传文件、外部 API、浏览输出、peer Agent 消息，全部先消毒再进上下文。
  • Least-Agency + 最小权限工具画像：每个工具配独立的权限画像（作用域、最大速率、出站白名单），写成 IAM/授权策略条文挂在工具上，而不是靠约定；例如邮件摘要工具只读不发删、数据库工具只读查询、API 暴露最小 CRUD。工具能不给就不给——规划型 Agent 经常一个工具都不需要。
  • 意图门（Policy Enforcement Point）：把 LLM/规划器的输出当不可信，在执行前由策略中间件校验意图与参数、强制 schema、发短期凭证、漂移时吊销并审计。这就是他 harness 里”推理与执行分离”的安全版。
  • 高影响动作强制审批：删除、转账、发布这类动作必须人工确认，确认前展示预执行计划或 dry-run diff；目标偏离原任务时暂停或阻断、浮出偏差供复核、记入审计。
  • 执行沙箱 + 出站白名单：工具/代码执行一律进隔离沙箱，默认拒绝一切未批准的出站目标；这就是”爆炸半径上界”，其他防线全破时仍兜底。
  • 语义防火墙：工具用全限定名 + 版本 pin，防工具名仿冒与别名冲突；校验调用的语义（查哪类数据）而不只看语法；解析 ambiguous 时 fail closed，找人澄清。
  • JIT 临时凭证 + 预算：凭证用完即过期、绑定到具体用户会话；工具调用设成本/速率/token 上限，超限自动吊销或节流（防循环调用刷爆账单和 DoS）。
  • 不可变日志 + 漂移检测：全部工具调用与参数变更记不可变日志，持续监控异常调用率、异常工具链模式（如先读库后外发）、策略违规；并给当前目标维护稳定标识，目标一漂移就告警。
  • 定期红队 + 验证回滚：定期模拟目标覆盖攻击，并验证回滚是否真有效；把 Agent 纳入已有的内部威胁计划，监控试图拿敏感数据或改 Agent 行为的内部提示。
• 与 Stone 现有工作的咬合：ASI06 记忆投毒 + ASI03 的”记忆留存权限”（Agent 缓存的凭证、密钥、检索数据若不在任务/用户间隔离，会被诱导复用、提权、泄漏）——这就是 open-memex 长期记忆写入必须配特权控制与分段的理由，记忆写入不是普通功能，是安全边界。ASI09 人机信任利用（Agent 用自信、polished 的解释诱导操作员批准有害动作）——和他随笔里”警惕 AI 的体贴”是同一机制，只是从”体贴”升级成”社会工程”。
• 取舍要明说：这份文档不承诺”防住注入”，它承诺的是”即使被注入，损失有界、行为可见、能停能查”。这也是它比 LLM Top 10 更适合 Agent 学习者的原因——LLM Top 10 讲单模型风险，ASI 讲多步行动系统的风险。
• 备注（验货诚实标注）：本文档读的是官方文档镜像 PDF（页脚 genai.owasp.org，CC BY-SA 4.0），官网原文在 genai.owasp.org，内容以官网为准；EchoLeak 的月份与 CVE 编号在文档中未核到，本条不写；Policy as Code 专项与 AI 红队工具实操（PyRIT 类）本文档未单列，如需补下一步找官方文档。