OWASP Agentic Security (ASI) Top 10 (2026): Die Risiken agentischer KI-Systeme

Die OWASP Agentic Top 10 (ASI01–ASI10) sind die am 9. Dezember 2025 vom OWASP GenAI Security Project unter dem Dach der Agentic Security Initiative (ASI) veröffentlichte Risikoliste für autonome KI-Agenten. Sie ergänzt die etablierten LLM Top 10 um agentenspezifische Bedrohungen, die aus Autonomie, Tool-Nutzung, Multi-Agenten-Koordination und persistentem Speicher entstehen. Die Liste ist die Referenz für DACH-Deployer, die Agenten produktiv einsetzen und ihre Risiken gegenüber Audit, Aufsicht und Vorstand belegen müssen.

• Was sie ist: Ein peer-reviewtes Risiko-Register mit zehn agentenspezifischen Bedrohungsklassen – kein Kontrollkatalog.
• Warum sie nötig ist: Agenten planen, wählen Tools, schreiben in Speicher und handeln – das vergrößert die Angriffsfläche über das hinaus, was die LLM Top 10 modellieren.
• Worauf zu achten ist: Eine ältere Entwurfsliste vom Februar 2025 kursiert weiter und führt zu Verwechslungen bei der Nummerierung.

Welche Liste ist welche? Die Taxonomie-Falle

OWASP veröffentlicht mittlerweile eine ganze Familie überlappender KI-Sicherheitsartefakte. Für DACH-Risiko- und Beschaffungsteams ist die saubere Abgrenzung entscheidend:

• OWASP LLM Top 10 (LLM01:2025–LLM10:2025): Modell- und Anwendungsrisiken jeder GenAI-Anwendung – konversationell, RAG-basiert, Copilot-artig oder agentisch.
• OWASP Agentic Top 10 (ASI01–ASI10, 2026): Risiken autonomer Agenten, veröffentlicht am 9. Dezember 2025.
• OWASP AI Exchange, AIVSS, MCP Top 10, Agentic Skills Top 10 (AST10): ergänzende Artefakte für Wissensbasis, Bewertung, Protokoll- bzw. Skill-Ebene.

Wichtig: Eine im Pillar-Brief kursierende Kandidatenliste mit „Memory Poisoning" als ASI01 entstammt einem OWASP-Arbeitsentwurf vom Februar 2025 (Agentic AI Threats and Mitigations v1.0, „15 agentic threats"). Diese ist überholt, wird aber in vielen Praxisartikeln aus 2025 noch zitiert. Die finale Liste konsolidiert die Entwurfsbedrohungen: Memory Poisoning liegt jetzt unter ASI06, HITL-Bypass unter ASI09, Repudiation/Untraceability unter ASI03 plus übergreifende Logging-Anforderungen.

Warum agentische Systeme eine eigene Liste brauchen

Die LLM Top 10 wurden für Systeme geschrieben, die überwiegend antworten: Prompt rein, Completion raus, eventuell durch RAG geerdet. Agentische Systeme dagegen planen, schlussfolgern, wählen Tools, schreiben in den Speicher und handeln – mit minimaler schrittweiser menschlicher Freigabe. OWASP fasst es so zusammen: Agentische Systeme erben alle LLM-Risiken und führen völlig neue Schwachstellenklassen aus Autonomie, Tool-Integration, Multi-Agenten-Koordination und persistentem Zustand ein.

Das Open-Source-Red-Teaming-Framework DeepTeam beschreibt den Verstärkungseffekt prägnant: ASI01 (Agent Goal Hijack) = LLM01 (Prompt Injection) × LLM06 (Excessive Agency) – aber mit mehrstufiger Ausführung, die den Schaden über eine einzelne Antwort hinaus vervielfacht. ASI07, ASI08 und ASI10 haben überhaupt kein LLM-Top-10-Gegenstück.

Die zehn Risiken im Überblick

Die folgende Tabelle fasst die kanonische Liste, die primäre Kontrollkategorie und das LLM-Top-10-Pendant zusammen (Quelle: OWASP, 2026).

ASI01 – Agent Goal Hijack

Ein Angreifer manipuliert die Ziele, die Aufgabenwahl oder die Entscheidungspfade eines Agenten – über Prompt-Injection, manipulierte Tool-Outputs, schädliche Artefakte, gefälschte Inter-Agenten-Nachrichten oder vergiftete externe Daten. Der Agent muss nicht „defekt" sein; er folgt Anweisungen, die er für legitim hält, weil Modelle Instruktionen und Daten nicht zuverlässig trennen können. Dokumentierter Vorfall: EchoLeak (CVE-2025-32711, CVSS 9.3) in Microsoft 365 Copilot – der erste reale Zero-Click-Prompt-Injection in einem Produktivsystem. Eine präparierte E-Mail umging den XPIA-Klassifikator und exfiltrierte sensible Inhalte ohne jeden Klick (Aim Labs, Juni 2025).

ASI02 – Tool Misuse & Exploitation

Der Agent arbeitet innerhalb seiner autorisierten Rechte, nutzt ein legitimes Tool aber unsicher: löscht Daten, ruft kostspielige APIs überzogen ab, exfiltriert Informationen. Abgrenzung zu ASI03: Der Zugriff ist legitim, die Nutzung nicht. Dokumentiert: Amazon Q Code Assistant (CVE-2025-8217) – manipulierte Instruktionen in der VS-Code-Extension hätten mit --trust-all-tools --no-interactive Dateisysteme und Cloud-Ressourcen ohne Bestätigung gelöscht; rund eine Million Entwickler hatten die Extension installiert.

ASI03 – Identity & Privilege Abuse

Agenten arbeiten mit weitreichenden Rechten. Wird ein Agent kompromittiert, erbt der Angreifer dessen Berechtigungen. Privilege-Vererbung ist das dominante systemische Risiko, weil Agenten-Identitäten in menschenzentrierten IAM-Systemen schlecht modelliert sind. Empfohlen wird, jeden Agenten als erstklassige Non-Human Identity (NHI) zu behandeln – mit Primitiven wie Microsoft Entra Agent ID (GA 2025, Stand 2026), AWS IAM-Agentenrollen und kurzlebigen Credentials.

ASI04 – Agentic Supply Chain Vulnerabilities

Anders als LLM03 (statische Lieferkette: Trainingsdaten, Basismodell, Build-Time-Libraries) deckt ASI04 ab, was Agenten dynamisch zur Laufzeit laden: MCP-Server, Plugins, externe Tools, Agent-Cards, Sub-Agenten. Dokumentiert: postmark-mcp (Koi Security, September 2025) – der erste schädliche MCP-Server im Feld; jede gesendete Nachricht wurde heimlich an den Angreifer kopiert, 1.643 Downloads vor der Entfernung. Gegenmaßnahme: ein „agentic SBOM" (AIBOM) und Trusted-Registry-Enforcement.

ASI05 – Unexpected Code Execution

Viele Agenten generieren und führen Code als Feature aus. SecOps Group dokumentierte allein im Dezember 2025 über 30 CVEs auf großen KI-Coding-Plattformen. Beispiel: CurXecute (CVE-2025-54135) – ein vergifteter Prompt aus einer öffentlichen Slack-Nachricht konnte ~/.cursor/mcp.json umschreiben und bei jedem Start von Cursor Angreiferbefehle ausführen. Kontrolle: isolierte, ephemere Sandboxes (gVisor, Firecracker), Command-Allow-Lists, kein Auto-Approve.

ASI06 – Memory & Context Poisoning

Agenten halten persistenten Speicher – Verlauf, Präferenzen, gelernten Kontext, RAG-Stores. Eine einzige erfolgreiche Injection kann den Speicher dauerhaft vergiften; jede künftige Session erbt die Kompromittierung. Dokumentiert: die Google-Gemini-Memory-Attacke (Johann Rehberger, Februar 2025) mit „delayed tool invocation" und die Lakera-Forschung (November 2025), in der kompromittierte Agenten persistente Falschüberzeugungen entwickelten und gegen menschliche Nachfragen verteidigten – Sleeper-Agent-Verhalten.

ASI07 – Insecure Inter-Agent Communication

Multi-Agenten-Systeme koordinieren über Nachrichten. Ohne starke Authentifizierung, Integrität und Policy lassen sich falsche Informationen einschleusen, weil Nachrichten natürlichsprachlich und Vertrauen implizit ist. Dokumentiert: Agent Session Smuggling im A2A-Protokoll (Palo Alto Unit 42, November 2025) – eine nachhaltige Social-Engineering-Kampagne Agent gegen Agent statt eines Einzelschusses. Kontrolle: mTLS, kryptografisch signierte AgentCards, expliziter Kollaborationsgraph.

ASI08 – Cascading Failures

In vernetzten Multi-Agenten-Workflows summieren sich Fehler. Ein kompromittierter Agent vergiftet jeden Agenten, mit dem er kommuniziert. Dokumentiert: die Galileo-AI-Forschung (Dezember 2025) – in simulierten Systemen vergiftete ein einziger kompromittierter Agent 87 % der nachgelagerten Entscheidungen innerhalb von 4 Stunden. Kontrolle: Circuit Breaker, definierte Blast-Radius-Caps, Bulkheads, automatische Kill-Switches.

ASI09 – Human-Agent Trust Exploitation

Agenten erzeugen geschliffene, autoritativ klingende Ausgaben; Menschen neigen zum „Durchwinken". Die Aufsichtsebene, die eigentlich eine Sicherheitskontrolle sein soll, wird zur Schwachstelle (Automation Bias). Direkt anschlussfähig an EU AI Act Art. 14. Kontrolle: HITL-Gates, die unabhängige Verifikation der Belege erzwingen, Force-Engagement-UI statt eines bloßen „Approve"-Buttons.

ASI10 – Rogue Agents

Die extremste Ausprägung: ein Agent, der fundamental von der beabsichtigten Funktion abweicht – durch akkumuliertes Memory-Poisoning, Lieferkettenkompromittierung oder emergente Fehlausrichtung. OWASP nennt den „Replit-Meltdown" (Mitte 2025) als Beispiel. Ehrlich zu kommunizieren: Ein vollständig dokumentierter „Rogue Agent in Produktion" bei einem Großunternehmen war zum Research-Stand (Mai 2026) nicht bestätigt – es ist Spitzenforschungs- und Red-Team-Terrain. Kontrolle: kontinuierliche Verhaltens-Baselines, Canary-Tasks, verpflichtende Kill-Switches.

Konkretes Beispiel: Die Beschaffungs-Kaskade

Ein dokumentierter Vorfall verbindet ASI08 und ASI09 anschaulich: Ein Beschaffungs-Agent wurde über drei Wochen schrittweise davon überzeugt, sein Autorisierungslimit liege bei 500.000 USD. Anschließend platzierte der Angreifer 5 Mio. USD in zehn falschen Bestellungen. Jeder einzelne Schritt war plausibel (Boiling-Frog-Muster, ASI06-Memory-Drift), die menschlichen Freigeber vertrauten dem wachsenden Autoritätsanspruch des Agenten (ASI09), und der Effekt kaskadierte durch nachgelagerte Pricing- und Compliance-Agenten (ASI08). Lehre: Schadensbegrenzung verlangt Idempotenz-Token auf kritischen Aktionen, harte Blast-Radius-Caps und HITL-Gates mit unabhängiger Beleg-Verifikation – nicht nur das Vertrauen in die Empfehlung des Agenten.

Einordnung in den DACH-Compliance-Rahmen

Die Agentic Top 10 sind ein Risiko-Register, kein Kontrollkatalog. Sie liegen oben auf klassischen Standards wie ASVS und API Security Top 10, nicht an deren Stelle. Ergänzend liefern MAESTRO (Cloud Security Alliance) die Architektur-Landkarte, MITRE ATLAS (Version 5.1.0, November 2025, Stand 2026) das Angreifer-Playbook und AIVSS (Version 0.8, März 2026; Version 1.0 für Ende 2026 erwartet) die Bewertung mit agentischen Verstärkungsfaktoren. EU AI Act Art. 15 (Cybersicherheit, Robustheit) und Art. 14 (menschliche Aufsicht) decken viele ASI-Risiken konzeptionell ab, lassen aber agentenspezifische Lücken – etwa indirekte Injection oder Multi-Agenten-Kaskaden – beim Deployer. DSGVO Art. 32 greift bei Integrität und Vertraulichkeit; ISO 42001, NIS2 und DORA flankieren Finanz- und KRITIS-Kontexte.

Für Agenturen und B2B-Entscheider

Wer KI-Agenten für Kunden konzipiert oder im eigenen Haus betreibt, sollte die ASI01–ASI10 als Pflicht-Checkliste in Pitch, Architektur und Betriebshandbuch verankern – nicht als Sicherheits-Silo, sondern integriert in IAM, Logging und Freigabeprozesse. Für DACH-B2B heißt das konkret: jede Agenten-Identität als NHI mit kurzlebigen Credentials, Auto-Approve grundsätzlich aus, Memory-Provenance und Tenant-Isolation, Kill-Switches in jeder Produktivumgebung sowie quartalsweises Red-Teaming. Als Wiener Agentur unterstützt Blck Alpaca dabei, dieses Bedrohungs-Register in ein prüffähiges Risiko-Register zu überführen, das gegenüber Audit, Aufsicht und Vorstand Bestand hat.