OWASP Agentic Security (ASI) Top 10 (2026): Die Risiken agentischer KI-Systeme

Die OWASP Agentic Top 10 (ASI01–ASI10) sind die am 9. Dezember 2025 vom OWASP GenAI Security Project unter dem Dach der Agentic Security Initiative (ASI) veröffentlichte Risikoliste für autonome KI-Agenten. Sie ergänzt die etablierten LLM Top 10 um agentenspezifische Bedrohungen, die aus Autonomie, Tool-Nutzung, Multi-Agenten-Koordination und persistentem Speicher entstehen. Die Liste ist die Referenz für DACH-Deployer, die Agenten produktiv einsetzen und ihre Risiken gegenüber Audit, Aufsicht und Vorstand belegen müssen.

• Was sie ist: Ein peer-reviewtes Risiko-Register mit zehn agentenspezifischen Bedrohungsklassen, kein Kontrollkatalog.
• Warum sie nötig ist: Agenten planen, wählen Tools, schreiben in Speicher und handeln, das vergrößert die Angriffsfläche über das hinaus, was die LLM Top 10 modellieren.
• Worauf zu achten ist: Die Nummerierung T1 bis T15 aus dem OWASP-Leitfaden vom Februar 2025 wird oft als ASI01 ff. zitiert, das führt zu Verwechslungen.

Welche Liste ist welche? Die Taxonomie-Falle

OWASP veröffentlicht mittlerweile eine ganze Familie überlappender KI-Sicherheitsartefakte. Für DACH-Risiko- und Beschaffungsteams ist die saubere Abgrenzung entscheidend:

• OWASP LLM Top 10 (LLM01:2025–LLM10:2025): Modell- und Anwendungsrisiken jeder GenAI-Anwendung, konversationell, RAG-basiert, Copilot-artig oder agentisch.
• OWASP Agentic Top 10 (ASI01–ASI10, 2026): Risiken autonomer Agenten, veröffentlicht am 9. Dezember 2025.
• OWASP AI Exchange, AIVSS, MCP Top 10, Agentic Skills Top 10 (AST10): ergänzende Artefakte für Wissensbasis, Bewertung, Protokoll- bzw. Skill-Ebene.

Wichtig: Eine Kandidatenliste mit „Memory Poisoning“ als ASI01, die noch vielfach kursiert, geht auf den OWASP-Leitfaden vom Februar 2025 zurück: Agentic AI: Threats and Mitigations beschrieb in Version 1.0 15 Bedrohungen, nummeriert von T1 bis T15 (die aktuelle Version 1.1 vom Dezember 2025 reicht bis T17). Memory Poisoning steht dort als T1. Viele Praxisartikel aus 2025 haben diese Reihenfolge als „ASI01“ übernommen und zitieren sie bis heute. Überholt ist nur diese Lesart, nicht der Leitfaden: Die finale Top 10 nennt ihn ihre grundlegende Taxonomie und ordnet seine Bedrohungen den ASI-Einträgen zu. Memory Poisoning (T1) liegt unter ASI06, Overwhelming Human in the Loop (T10) unter ASI09, Repudiation & Untraceability (T8) unter ASI08 und ASI09.

Warum agentische Systeme eine eigene Liste brauchen

Die LLM Top 10 wurden für Systeme geschrieben, die überwiegend antworten: Prompt rein, Completion raus, eventuell durch RAG geerdet. Agentische Systeme dagegen planen, schlussfolgern, wählen Tools, schreiben in den Speicher und handeln, mit minimaler schrittweiser menschlicher Freigabe. OWASP fasst es so zusammen: Agentische Systeme erben alle LLM-Risiken und führen völlig neue Schwachstellenklassen aus Autonomie, Tool-Integration, Multi-Agenten-Koordination und persistentem Zustand ein.

Das Open-Source-Red-Teaming-Framework DeepTeam beschreibt den Verstärkungseffekt prägnant: ASI01 (Agent Goal Hijack) = LLM01 (Prompt Injection) × LLM06 (Excessive Agency), aber mit mehrstufiger Ausführung, die den Schaden über eine einzelne Antwort hinaus vervielfacht. ASI07, ASI08 und ASI10 sind laut DeepTeam neue Schwachstellenklassen ohne direktes LLM-Top-10-Gegenstück. OWASP ordnet in Anhang A der Agentic Top 10 auch diesen Einträgen LLM-Risiken zu (ASI07: LLM02, LLM06; ASI08: LLM01, LLM04, LLM06; ASI10: LLM02, LLM09).

Die zehn Risiken im Überblick

Die folgende Tabelle fasst die kanonische Liste, die primäre Kontrollkategorie und die verwandten LLM-Top-10-Risiken zusammen. Die LLM-Zuordnung folgt Anhang A der OWASP Top 10 for Agentic Applications 2026. Die Kennzeichnung „kein direktes Pendant“ folgt DeepTeam.

ASI01: Agent Goal Hijack

Ein Angreifer manipuliert die Ziele, die Aufgabenwahl oder die Entscheidungspfade eines Agenten, über Prompt-Injection, manipulierte Tool-Outputs, schädliche Artefakte, gefälschte Inter-Agenten-Nachrichten oder vergiftete externe Daten. Der Agent muss nicht „defekt“ sein; er folgt Anweisungen, die er für legitim hält, weil Modelle Instruktionen und Daten nicht zuverlässig trennen können. Dokumentierter Vorfall: EchoLeak (CVE-2025-32711, CVSS 9.3) in Microsoft 365 Copilot, die erste reale Zero-Click-Prompt-Injection in einem Produktivsystem. Eine präparierte E-Mail umging den XPIA-Klassifikator und exfiltrierte sensible Inhalte ohne jeden Klick (Aim Labs, Juni 2025).

ASI02: Tool Misuse & Exploitation

Der Agent arbeitet innerhalb seiner autorisierten Rechte, nutzt ein legitimes Tool aber unsicher: löscht Daten, ruft kostspielige APIs überzogen ab, exfiltriert Informationen. Abgrenzung zu ASI03: Der Zugriff ist legitim, die Nutzung nicht. Dokumentiert: Amazon Q Developer (CVE-2025-8217), manipulierte Instruktionen in Version 1.84.0 der VS-Code-Extension hätten mit den Flags --trust-all-tools --no-interactive Dateisysteme und Cloud-Ressourcen ohne Bestätigung gelöscht (Analyse des Schadcodes bei PointGuard AI); rund eine Million Entwickler hatten die Extension installiert. OWASP ordnet den Fall in Anhang D der Agentic Top 10 (ASI Agentic Exploits & Incidents Tracker) ASI01, ASI02 und ASI04 zu.

ASI03: Identity & Privilege Abuse

Agenten arbeiten mit weitreichenden Rechten. Wird ein Agent kompromittiert, erbt der Angreifer dessen Berechtigungen. Privilege-Vererbung ist das dominante systemische Risiko, weil Agenten-Identitäten in menschenzentrierten IAM-Systemen schlecht modelliert sind. Empfohlen wird, jeden Agenten als erstklassige Non-Human Identity (NHI) zu behandeln, mit Primitiven wie Microsoft Entra Agent ID (inzwischen allgemein verfügbar), AWS IAM-Agentenrollen und kurzlebigen Credentials.

ASI04: Agentic Supply Chain Vulnerabilities

Anders als LLM03 (statische Lieferkette: Trainingsdaten, Basismodell, Build-Time-Libraries) deckt ASI04 ab, was Agenten dynamisch zur Laufzeit laden: MCP-Server, Plugins, externe Tools, Agent-Cards, Sub-Agenten. Dokumentiert: postmark-mcp (Koi Security, September 2025), der erste schädliche MCP-Server im Feld; jede gesendete Nachricht wurde heimlich an den Angreifer kopiert, 1.643 Downloads vor der Entfernung. Gegenmaßnahme: ein „agentic SBOM“ (AIBOM) und Trusted-Registry-Enforcement.

ASI05: Unexpected Code Execution

Viele Agenten generieren und führen Code als Feature aus. SecOps Group dokumentierte allein im Dezember 2025 über 30 CVEs auf großen KI-Coding-Plattformen. Beispiel: CurXecute (CVE-2025-54135), ein vergifteter Prompt aus einer öffentlichen Slack-Nachricht konnte ~/.cursor/mcp.json umschreiben und bei jedem Start von Cursor Angreiferbefehle ausführen. Kontrolle: isolierte, ephemere Sandboxes (gVisor, Firecracker), Command-Allow-Lists, kein Auto-Approve.

ASI06: Memory & Context Poisoning

Agenten halten persistenten Speicher. Verlauf, Präferenzen, gelernten Kontext, RAG-Stores. Eine einzige erfolgreiche Injection kann den Speicher dauerhaft vergiften; jede künftige Session erbt die Kompromittierung. Dokumentiert: die Google-Gemini-Memory-Attacke (Johann Rehberger, Februar 2025) mit „delayed tool invocation“ und die Lakera-Forschung (November 2025), in der kompromittierte Agenten persistente Falschüberzeugungen entwickelten und gegen menschliche Nachfragen verteidigten. Sleeper-Agent-Verhalten.

ASI07: Insecure Inter-Agent Communication

Multi-Agenten-Systeme koordinieren über Nachrichten. Ohne starke Authentifizierung, Integrität und Policy lassen sich falsche Informationen einschleusen, weil Nachrichten natürlichsprachlich und Vertrauen implizit ist. Dokumentiert: Agent Session Smuggling im A2A-Protokoll (Palo Alto Unit 42, November 2025), eine nachhaltige Social-Engineering-Kampagne Agent gegen Agent statt eines Einzelschusses. Kontrolle: mTLS, kryptografisch signierte AgentCards, expliziter Kollaborationsgraph.

ASI08: Cascading Failures

In vernetzten Multi-Agenten-Workflows summieren sich Fehler. Ein kompromittierter Agent kann jeden Agenten vergiften, mit dem er kommuniziert, und jede weitere Stufe vergrößert den Schaden. Kontrolle: Circuit Breaker, definierte Blast-Radius-Caps, Bulkheads, automatische Kill-Switches.

ASI09: Human-Agent Trust Exploitation

Agenten erzeugen geschliffene, autoritativ klingende Ausgaben; Menschen neigen zum „Durchwinken“. Die Aufsichtsebene, die eigentlich eine Sicherheitskontrolle sein soll, wird zur Schwachstelle (Automation Bias). Direkt anschlussfähig an EU AI Act Art. 14. Kontrolle: HITL-Gates, die unabhängige Verifikation der Belege erzwingen, Force-Engagement-UI statt eines bloßen „Approve“-Buttons.

ASI10: Rogue Agents

Die extremste Ausprägung: ein Agent, der fundamental von der beabsichtigten Funktion abweicht, durch akkumuliertes Memory-Poisoning, Lieferkettenkompromittierung oder emergente Fehlausrichtung. OWASP nennt den „Replit-Meltdown“ (Mitte 2025) als Beispiel. Ehrlich zu kommunizieren: Ein vollständig dokumentierter „Rogue Agent in Produktion“ bei einem Großunternehmen war bis Mai 2026 nicht bestätigt, es ist Spitzenforschungs- und Red-Team-Terrain. Kontrolle: kontinuierliche Verhaltens-Baselines, Canary-Tasks, verpflichtende Kill-Switches.

Szenario: Die Beschaffungs-Kaskade

Ein Szenario ohne belegte Quelle verbindet ASI08 und ASI09: Darin wird ein Beschaffungs-Agent über drei Wochen schrittweise davon überzeugt, sein Autorisierungslimit liege bei 500.000 USD. Anschließend löst der Angreifer zehn falsche Bestellungen über 5 Mio. USD aus. Jeder einzelne Schritt wirkt plausibel (Boiling-Frog-Muster, ASI06-Memory-Drift), die menschlichen Freigeber vertrauen dem wachsenden Autoritätsanspruch des Agenten (ASI09), und der Effekt kaskadiert durch nachgelagerte Pricing- und Compliance-Agenten (ASI08). Lehre: Schadensbegrenzung verlangt Idempotenz-Token auf kritischen Aktionen, harte Blast-Radius-Caps und HITL-Gates mit unabhängiger Beleg-Verifikation, nicht nur das Vertrauen in die Empfehlung des Agenten.

Einordnung in den DACH-Compliance-Rahmen

Die Agentic Top 10 sind ein Risiko-Register, kein Kontrollkatalog. Sie liegen oben auf klassischen Standards wie ASVS und API Security Top 10, nicht an deren Stelle. Ergänzend liefern MAESTRO (Cloud Security Alliance) die Architektur-Landkarte, MITRE ATLAS (Version 5.1.0, November 2025, Stand 2026) das Angreifer-Playbook und AIVSS (Version 0.8, März 2026; Version 1.0 für Ende 2026 erwartet) die Bewertung mit agentischen Verstärkungsfaktoren. EU AI Act Art. 15 (Cybersicherheit, Robustheit) und Art. 14 (menschliche Aufsicht) decken viele ASI-Risiken konzeptionell ab, lassen aber agentenspezifische Lücken, etwa indirekte Injection oder Multi-Agenten-Kaskaden, beim Deployer. DSGVO Art. 32 greift bei Integrität und Vertraulichkeit; ISO 42001, NIS2 und DORA flankieren Finanz- und KRITIS-Kontexte.

Für Agenturen und B2B-Entscheider

Wer KI-Agenten für Kunden konzipiert oder im eigenen Haus betreibt, sollte die ASI01–ASI10 als Pflicht-Checkliste in Pitch, Architektur und Betriebshandbuch verankern, nicht als Sicherheits-Silo, sondern integriert in IAM, Logging und Freigabeprozesse. Für DACH-B2B heißt das konkret: jede Agenten-Identität als NHI mit kurzlebigen Credentials, Auto-Approve grundsätzlich aus, Memory-Provenance und Tenant-Isolation, Kill-Switches in jeder Produktivumgebung sowie quartalsweises Red-Teaming. Als Wiener Agentur unterstützt Blck Alpaca dabei, dieses Bedrohungs-Register in ein prüffähiges Risiko-Register zu überführen, das gegenüber Audit, Aufsicht und Vorstand Bestand hat.