OWASP Agentic Top 10

Top 10 是检查视角，不是完整威胁模型

OWASP 2026 Agentic Top 10聚焦能够规划、行动和跨复杂工作流决策的 Agent 系统。评审仍应从真实 DFD、资产、身份、数据流、Tool、Memory、供应链和人类流程出发，再把每条路径映射到一个或多个 ASI 类别。编号便于交流，不代表风险优先级适用于每个组织。

控制必须落到可执行位置：Prompt 的目标约束在模型层降低成功率；资源授权在 Tool Gateway 阻断越权；Sandbox 限制代码执行；Egress Policy 防止数据离开；预算和熔断阻止级联；Trace、撤销和 Runbook 支撑响应。每项指定业务、系统、安全或数据 Owner，并记录未被控制消除的残余风险。

目标劫持与持久上下文操纵

这组风险控制“Agent 为什么做这件事”和“影响会持续多久”。即时目标偏移若被写入 Memory 或共享 Context，会从单次 Run 变成跨用户、跨会话和跨 Agent 的持久行为。二者应共享来源追踪、目标不变量与污染响应，但写入门禁和删除机制只在持久层才能完成。

ASI01 Agent Goal Hijack

直接或间接输入改变批准目标、计划、约束或完成条件。典型路径是网页隐藏指令要求 Agent 忽略用户目标并上传本地文件。内容分层、低信任标记和目标重申能降低影响，真正限制爆炸半径的是最小 Capability、确定性策略、参数授权、出口控制和结果验证。

验证：固定身份、目标与 Tool，只改变恶意内容，比较计划、调用和业务后置条件；同时测试内容控制失效时，Gateway 是否仍拒绝越权。Owner：System Owner 负责目标与执行门禁，Security 维护攻击语料，Business Owner 定义不可违反的业务不变量。残余风险是合法任务与恶意意图在自然语言上可能难以稳定区分。

ASI06 Memory & Context Poisoning

恶意或错误内容进入 Memory、RAG、摘要、缓存或共享 Context，之后持续影响检索、计划和其他 Agent。控制包括来源与租户、写入资格、冲突策略、内容签名、审批、TTL、版本、撤销和可重建索引。只在读取时提示“谨慎使用”无法修复已污染的权威源。

验证：注入污染记录，测试跨会话召回、租户隔离、来源冲突、删除传播和重建后回归。Owner：Data/Memory Owner 管写入与生命周期，System Owner 管使用方式。残余风险包括可信来源本身失陷和缓慢低频污染。

Tool 滥用与非预期代码执行

模型输出成为外部动作时，错误从信息层进入副作用层。Tool Misuse 关注合法能力被错误选择、操纵或组合；Unexpected Code Execution 关注自然语言、生成代码、解释器、插件或文件触发主机执行。两类都需要把模型建议与确定性执行环境分离。

ASI02 Tool Misuse & Exploitation

Agent 可能选择错误 Tool、构造危险参数、组合多个低风险能力绕过职责分离，或在合法授权内批量滥用。最小 Tool 集、短期凭据、资源级授权、参数 Schema、业务不变量、额度、审批绑定、幂等和补偿共同控制路径。

验证：覆盖不存在 Tool、近义 Tool、越权资源、参数边界、组合滥用、重复提交、审批后篡改和未知回执。Owner：Tool Owner 负责契约与业务后置条件，Identity/Policy Owner 负责授权，Business Owner 负责影响和例外。残余风险是多个单独合规动作仍可能组成不合规结果。

ASI05 Unexpected Code Execution

代码生成、Shell、Notebook、浏览器下载、插件和文档解析可能把模型或内容错误升级为执行。默认在一次性 Sandbox 内运行，使用命令与 API Allowlist，限制文件、网络、设备、进程、时间、CPU、内存和凭据，并扫描产物；宿主机与控制面密钥不进入执行环境。

验证：测试命令拼接、路径穿越、环境变量读取、网络回连、资源耗尽、恶意依赖、Sandbox Escape 和清理失败。Owner：Runtime/Sandbox Owner 负责隔离，Security 负责逃逸与供应链测试。残余风险是 Sandbox 本身漏洞和允许能力中的业务滥用。

身份、权限与 Agent 间通信

Agent 不是新的信任根。每次委派都要保留发起 Principal、目标 Audience、允许资源、动作、租户、时效和链路，接收方重新授权而不是信任上游自然语言。跨 Agent 消息既是协议输入，也是可能携带注入与敏感数据的内容。

ASI03 Identity & Privilege Abuse

长期或过宽凭据、Token Passthrough、Confused Deputy、共享 Service Account 和无衰减委派会扩大权限。控制采用端到端 Principal、资源绑定 Audience、短期凭据、按需升级、委派衰减、持续授权、撤销和 Break-glass 审计。

验证：用跨租户、错误 Audience、过期 Token、撤销中 Run、父子 Agent 和用户权限收回场景做负向测试。Owner：Identity/Platform Owner 管身份链，Tool Owner 在资源端再次授权。残余风险是外部系统无法表达细粒度权限，只能通过代理隔离或减少能力补偿。

ASI07 Insecure Inter-Agent Communication

伪造 Agent、消息篡改、重放、Context 越界、协议降级与恶意 Artifact 会把一个 Agent 的风险传播到集群。通道需要双向身份、完整性、机密性、Nonce/时效、Schema、最小数据和协议版本准入；接收方重新校验内容、权限与 Artifact，不能继承发送方信任。

验证：测试伪造身份、重放、乱序、超大消息、降级、跨租户 Context 和恶意附件。Owner：Protocol/Platform Owner 管通信底线，各 Agent Owner 管本地再验证。残余风险是语义上合法但恶意的消息，仍需目标与行为监控。

供应链与人类信任被利用

Agent 动态发现模型、Tool、MCP Server、Skill 和其他 Agent，也会通过自然语言说服人类批准动作。前者利用组件信任，后者利用认知信任。共同原则是来源不等于授权，漂亮描述不等于证据，更新与审批都要显示可核对差异。

ASI04 Agentic Supply Chain Vulnerabilities

模型、依赖、容器、Tool、MCP Server、Skill、Prompt 模板、数据集与自动更新任一环节都可能被投毒。建立来源与 Owner、AIBOM/SBOM、签名或摘要、版本固定、权限差异、隔离验证、变更审批、可撤销分发和快速回滚；动态发现只返回获批 Registry 快照。

验证：替换签名、版本、Tool 描述、依赖和更新源，确认准入阻断；演练已部署组件撤销与影响查询。Owner：Supply Chain/Platform Owner 负责准入与分发，Capability Owner 对组件必要权限负责。残余风险是可信上游失陷和构建来源不可完全复现。

ASI09 Human-Agent Trust Exploitation

拟人化、虚假确定性、伪造证据和审批疲劳会诱导用户过度信任或错误授权。界面明确 AI 身份和不确定性，用权威系统生成参数预览与来源证据，根据风险设置差异化摩擦，限制批量批准，并允许修改、拒绝、撤销、申诉和退出自动化。

验证：测量审批拒绝/修改、证据查看、批量疲劳、暗黑模式、错误自信和不同用户群理解，而不只问满意度。Owner：Product/UX 与 Business Owner 负责决策体验，Security 负责社会工程演练。残余风险是时间压力、权威偏见和组织激励仍可能削弱复核。

级联故障与 Rogue Agent

长链路、共享依赖和自治循环会把局部错误放大。Cascading Failures 更强调传播机制，Rogue Agents 更强调某个 Agent 偏离批准身份、版本、目标或监督。两者都需要故障域、预算、不变量、可停止性和完整 Trace。

ASI08 Cascading Failures

错误信号、重试、递归委派、共享 Memory、Provider 限流和状态污染可触发重试风暴、成本激增或连锁错误。每个 Run 设置步骤、时间、Token、资金和并发预算，使用背压、熔断、隔离队列、幂等、终止条件、租户公平与已知安全降级。

验证：注入 Tool 超时、错误成功回执、队列积压、Provider 限流、子 Agent 死循环和共享状态污染，观察故障域、停止时间、未知副作用与恢复。Owner：Runtime/Operations Owner 管资源与恢复，业务 Owner 定义可接受降级。残余风险是相关依赖故障和错误信息在多 Agent 间快速传播。

ASI10 Rogue Agents

Agent 可能因配置漂移、供应链失陷、污染、错误目标或攻击而偏离批准行为，持续执行、规避监督或影响其他 Agent。运行时固定身份、版本、能力和策略快照，监测目标不变量与行为基线，使用短期租约、双向心跳、Kill Switch、凭据撤销、隔离和事件响应。

验证：改变模型、Prompt、Skill、身份或策略版本，模拟失联、拒绝停止、隐蔽外发和污染邻居，确认控制面能定位、撤权、隔离、停止与保全证据。Owner：System Owner 负责批准行为，Platform/Security 负责身份和隔离。残余风险是检测语义偏离存在延迟，Kill Switch 也依赖可用控制通道。

按四类证据验收每项控制

风险到控制是多对多映射。例如资源级授权同时缓解 ASI01、ASI02、ASI03、ASI07 与 ASI10，却不能解决审批疲劳或 Memory 污染。矩阵每行写攻击路径、控制目标、执行点、适用 ASI、Owner、四类证据、监测信号、响应动作和残余风险。

OWASP 2026 AIUC-1 Crosswalk展示了 Top 10 与另一组安全、安全性和可靠性要求的双向映射及差距分析。这也说明“映射上”不等于“控制充分”：每个本地映射都要写理由、适用边界和证据，不能复制外部交叉表后直接放行。

保留分类之外的业务风险

Top 10 不替代错误决策、公平差异、操纵、隐私、法规、无障碍、用户伤害和组织内部滥用评估。合法用户在授权内批量组合能力，可能不匹配单一 ASI 类别，却仍造成严重业务影响。新协议、新 Tool、新模型行为和自治模式也会早于分类更新出现。

分类外清单记录发现来源、为何未被现有类别充分表达、临时映射、Owner、监测和复审日期。持续威胁建模、事件复盘、红队和用户申诉负责输入新路径；版本更新时比较新增、合并、重命名和控制变化，不机械替换编号或让旧风险丢失。