Słownik Webflux Agentic Web
Bezpieczeństwo agentów

OWASP Top 10 dla aplikacji agentowych

Recenzowany katalog dziesięciu najpoważniejszych zagrożeń dla systemów agentowych, oznaczonych od ASI01 do ASI10, opublikowany w grudniu 2025 przez projekt OWASP GenAI Security przy udziale ponad stu ekspertów. Zbudowany na rzeczywistych incydentach, nie na prognozach.

W Polsce nazywane też:

OWASP Top 10 dla agentówASIAgentic Security Initiativelista ryzyk agentowych

Lista OWASP dla modeli językowych opisywała system, który przyjmuje wejście i zwraca wyjście. Agent jest czymś innym: ma cele, poświadczenia, narzędzia, pamięć i zdolność łączenia działań w łańcuchy.

Czym jest OWASP Top 10 dla agentów

OWASP Top 10 for Agentic Applications to recenzowany katalog dziesięciu najpoważniejszych zagrożeń specyficznych dla autonomicznych systemów agentowych, opublikowany 9 grudnia 2025 w ramach projektu OWASP GenAI Security. Powstał przy udziale ponad stu ekspertów i praktyków, a każda kategoria ma identyfikator od ASI01 do ASI10 — skrót pochodzi od Agentic Security Initiative.

Czym różni się od listy dla modeli

Lista dla modeli obejmuje ryzyka na poziomie samego modelu: wstrzyknięcie instrukcji, niebezpieczną obsługę wyjścia, ujawnienie danych.

Lista agentowa opisuje, co się dzieje, gdy model staje się **wykonawcą**: przejęcie celu agenta, nadużycie narzędzi, zatrucie pamięci i kontekstu, nadużycie tożsamości i uprawnień, wykorzystanie zaufania człowieka do agenta, aż po agenty działające poza kontrolą.

Dlaczego to nie są prognozy

Lista została zbudowana na incydentach z 2025 roku, nie na scenariuszach hipotetycznych. Obejmuje między innymi przypadki bezklikowego wycieku danych oraz kompromitacji asystenta programistycznego.

Do czego służy w praktyce

Przede wszystkim jako wspólny język. Zespół budujący agenta, zespół bezpieczeństwa i audyt potrzebują jednego nazewnictwa, żeby rozmawiać o tym samym.

Po drugie jako lista kontrolna przy przejściu z pilotażu do produkcji: dla każdej z dziesięciu kategorii odpowiadasz, jak ją adresujesz albo dlaczego świadomie jej nie adresujesz. Druga odpowiedź jest dopuszczalna, brak odpowiedzi nie.

Powiązane pojęcia

MITRE ATLASProwadzona przez MITRE, stale aktualizowana baza wiedzy o taktykach i technikach ataków na systemy sztucznej inteligencji, zbudowana na wzór macierzy ATT&CK. Opisuje kolejne etapy ataku i konkretne techniki wraz z udokumentowanymi przypadkami.zatrucie pamięci agentaTrwałe umieszczenie w pamięci agenta treści, która będzie wpływać na jego przyszłe decyzje — także w sesjach, w których atakujący nie uczestniczy. W odróżnieniu od zatrucia kontekstu skutek nie znika po zakończeniu rozmowy.zbuntowany agentAgent działający poza zamierzonym zakresem — wskutek przejęcia, błędu konfiguracji, nadmiaru uprawnień albo po prostu dlatego, że nikt go nie wyłączył. Odpowiednik zagrożenia wewnętrznego, z tą różnicą, że działa szybciej i nie ma motywacji, którą dałoby się przewidzieć.Zerowe zaufanie dla agentówArchitektura bezpieczeństwa "never trust, always verify" dla agentów AI — każde żądanie agenta wymaga weryfikacji tożsamości i autoryzacji, niezależnie od lokalizacji sieciowej. Zero trust enforcement sprawia że governance CoE AI jest egzekwowalne technicznie, nie tylko na papierze.Zatrucie narzędziAtak polegający na zmodyfikowaniu lub sfałszowaniu opisów narzędzi dostępnych dla agenta AI — tak że agent wywołuje narzędzia w nieautoryzowany sposób lub ujawnia dane które powinny pozostać prywatne. Szczególnie groźny w ekosystemie MCP gdzie agenty dynamicznie odkrywają narzędzia z zewnętrznych serwerów i ufają ich opisom.Izolacja agentaZestaw mechanizmów izolacji środowiska wykonawczego agenta AI — ograniczających dostęp do zasobów systemu, sieci, danych i innych agentów — tak że kompromitacja lub błędne działanie agenta ma ograniczony zasięg i nie może się rozprzestrzeniać. Implementacja zasady defence in depth: nie eliminacja ryzyka, ale zawężenie jego konsekwencji.Wstrzyknięcie instrukcjiAtak na system agentowy polegający na wstrzyknięciu złośliwych instrukcji w treść którą agent przetwarza — maile, dokumenty, strony internetowe — tak że agent wykonuje działania inne niż zamierzył użytkownik. Fundamentalna klasa zagrożeń wynikająca z tego że modele językowe nie odróżniają inherentnie "treści do przeczytania" od "instrukcji do wykonania".Przejęcie agentaAtak polegający na manipulacji agentem AI przez złośliwe instrukcje ukryte w treści strony lub danych — agent wykonuje działania inne niż zamierzył użytkownik który go wysłał.