OWASP Agentic Security (ASI) Top 10 (2026): los riesgos de los sistemas de IA agéntica

El OWASP Agentic Top 10 (ASI01–ASI10) es la lista de riesgos para agentes de IA autónomos que el OWASP GenAI Security Project publicó el 9 de diciembre de 2025 bajo el paraguas de la Agentic Security Initiative (ASI). Complementa el ya consolidado LLM Top 10 con amenazas específicas de los agentes que surgen de la autonomía, el uso de herramientas, la coordinación multiagente y la memoria persistente. La lista es la referencia para los responsables del despliegue en Europa que usan agentes en producción y tienen que documentar sus riesgos ante la auditoría, el supervisor y la dirección.

• Qué es: un registro de riesgos revisado por pares con diez clases de amenazas específicas de los agentes, no un catálogo de controles.
• Por qué hace falta: los agentes planifican, eligen herramientas, escriben en memoria y actúan, y eso amplía la superficie de ataque más allá de lo que modela el LLM Top 10.
• A qué prestar atención: la numeración de T1 a T15 de la guía de OWASP de febrero de 2025 se cita a menudo como ASI01 y siguientes, lo que genera confusiones.

¿Qué lista es cuál? La trampa de la taxonomía

OWASP publica ya toda una familia de artefactos de seguridad de IA que se solapan entre sí. Para los equipos de riesgos y de compras de empresas europeas, delimitarlos con claridad es decisivo:

• OWASP LLM Top 10 (LLM01:2025–LLM10:2025): riesgos de modelo y de aplicación de cualquier aplicación de IA generativa, ya sea conversacional, basada en RAG, tipo copiloto o agéntica.
• OWASP Agentic Top 10 (ASI01–ASI10, 2026): riesgos de los agentes autónomos, publicado el 9 de diciembre de 2025.
• OWASP AI Exchange, AIVSS, MCP Top 10, Agentic Skills Top 10 (AST10): artefactos complementarios para la base de conocimiento, la puntuación y el nivel de protocolo o de skills.

Importante: una lista candidata con «Memory Poisoning» como ASI01, que todavía circula mucho, se remonta a la guía de OWASP de febrero de 2025: Agentic AI: Threats and Mitigations describía en su versión 1.0 un total de 15 amenazas, numeradas de T1 a T15 (la versión actual, la 1.1 de diciembre de 2025, llega hasta T17). Allí, Memory Poisoning figura como T1. Muchos artículos prácticos de 2025 adoptaron ese orden como «ASI01» y lo siguen citando hoy. Lo que ha quedado obsoleto es solo esa lectura, no la guía: el Top 10 final la presenta como su taxonomía de base y asigna sus amenazas a las entradas ASI. Memory Poisoning (T1) queda bajo ASI06, Overwhelming Human in the Loop (T10) bajo ASI09 y Repudiation & Untraceability (T8) bajo ASI08 y ASI09.

Por qué los sistemas agénticos necesitan su propia lista

El LLM Top 10 se escribió para sistemas que, sobre todo, responden: entra un prompt, sale una respuesta, quizá anclada mediante RAG. Los sistemas agénticos, en cambio, planifican, razonan, eligen herramientas, escriben en memoria y actúan, con una aprobación humana mínima paso a paso. OWASP lo resume así: los sistemas agénticos heredan todos los riesgos de los LLM e introducen clases de vulnerabilidad completamente nuevas derivadas de la autonomía, la integración de herramientas, la coordinación multiagente y el estado persistente.

El framework de red teaming de código abierto DeepTeam describe el efecto amplificador de forma concisa: ASI01 (Agent Goal Hijack) = LLM01 (Prompt Injection) × LLM06 (Excessive Agency), pero con una ejecución en varios pasos que multiplica el daño más allá de una única respuesta. Según DeepTeam, ASI07, ASI08 y ASI10 son clases de vulnerabilidad nuevas sin equivalente directo en el LLM Top 10. En el anexo A del Agentic Top 10, OWASP también asigna riesgos LLM a estas entradas (ASI07: LLM02, LLM06; ASI08: LLM01, LLM04, LLM06; ASI10: LLM02, LLM09).

Los diez riesgos de un vistazo

La siguiente tabla resume la lista canónica, la categoría de control principal y los riesgos relacionados del LLM Top 10. La asignación a los LLM sigue el anexo A del OWASP Top 10 for Agentic Applications 2026. La indicación «sin equivalente directo» procede de DeepTeam.

ASI01: Agent Goal Hijack

Un atacante manipula los objetivos, la selección de tareas o las rutas de decisión de un agente mediante inyección de prompts, salidas de herramientas manipuladas, artefactos maliciosos, mensajes falsificados entre agentes o datos externos envenenados. El agente no tiene por qué estar «averiado»: sigue instrucciones que considera legítimas, porque los modelos no pueden separar de forma fiable instrucciones y datos. Incidente documentado: EchoLeak (CVE-2025-32711, CVSS 9,3) en Microsoft 365 Copilot, la primera inyección de prompts zero-click real en un sistema en producción. Un correo electrónico preparado eludió el clasificador XPIA y exfiltró contenido sensible sin un solo clic (Aim Labs, junio de 2025).

ASI02: Tool Misuse & Exploitation

El agente actúa dentro de sus permisos autorizados, pero usa una herramienta legítima de forma insegura: borra datos, llama en exceso a API costosas, exfiltra información. Diferencia con ASI03: el acceso es legítimo, el uso no. Caso documentado: Amazon Q Developer (CVE-2025-8217). Unas instrucciones manipuladas en la versión 1.84.0 de la extensión de VS Code habrían borrado, con los flags --trust-all-tools --no-interactive, sistemas de archivos y recursos en la nube sin pedir confirmación (análisis del código malicioso en PointGuard AI); alrededor de un millón de desarrolladores tenían instalada la extensión. En el anexo D del Agentic Top 10 (ASI Agentic Exploits & Incidents Tracker), OWASP asigna el caso a ASI01, ASI02 y ASI04.

ASI03: Identity & Privilege Abuse

Los agentes trabajan con permisos amplios. Si un agente se ve comprometido, el atacante hereda sus permisos. La herencia de privilegios es el riesgo sistémico dominante, porque las identidades de los agentes están mal modeladas en sistemas IAM pensados para personas. Se recomienda tratar cada agente como una Non-Human Identity (NHI) de primera clase, con primitivas como Microsoft Entra Agent ID (ya disponible de forma general), roles de agente de AWS IAM y credenciales de corta duración.

ASI04: Agentic Supply Chain Vulnerabilities

A diferencia de LLM03 (cadena de suministro estática: datos de entrenamiento, modelo base, bibliotecas en tiempo de compilación), ASI04 cubre lo que los agentes cargan dinámicamente en tiempo de ejecución: servidores MCP, plugins, herramientas externas, Agent Cards, subagentes. Caso documentado: postmark-mcp (Koi Security, septiembre de 2025), el primer servidor MCP malicioso detectado en entornos reales; cada mensaje enviado se copiaba en secreto al atacante, con 1.643 descargas antes de su retirada. Contramedida: un «agentic SBOM» (AIBOM) y la aplicación de un registro de confianza.

ASI05: Unexpected Code Execution

Muchos agentes generan y ejecutan código como funcionalidad. Solo en diciembre de 2025, SecOps Group documentó más de 30 CVE en grandes plataformas de programación con IA. Ejemplo: CurXecute (CVE-2025-54135), un prompt envenenado procedente de un mensaje público de Slack podía reescribir ~/.cursor/mcp.json y ejecutar comandos del atacante en cada inicio de Cursor. Control: sandboxes aisladas y efímeras (gVisor, Firecracker), listas de comandos permitidos, sin aprobación automática.

ASI06: Memory & Context Poisoning

Los agentes mantienen una memoria persistente: historial, preferencias, contexto aprendido, almacenes RAG. Una sola inyección exitosa puede envenenar la memoria de forma permanente; cada sesión futura hereda el compromiso. Casos documentados: el ataque a la memoria de Google Gemini (Johann Rehberger, febrero de 2025) con «delayed tool invocation» y la investigación de Lakera (noviembre de 2025), en la que agentes comprometidos desarrollaron falsas creencias persistentes y las defendieron frente a las preguntas de personas. Comportamiento de agente durmiente.

ASI07: Insecure Inter-Agent Communication

Los sistemas multiagente se coordinan mediante mensajes. Sin autenticación, integridad y políticas sólidas, se puede colar información falsa, porque los mensajes están en lenguaje natural y la confianza es implícita. Caso documentado: Agent Session Smuggling en el protocolo A2A (Palo Alto Unit 42, noviembre de 2025), una campaña sostenida de ingeniería social de agente contra agente en lugar de un ataque puntual. Control: mTLS, AgentCards firmadas criptográficamente, grafo de colaboración explícito.

ASI08: Cascading Failures

En flujos de trabajo multiagente interconectados, los errores se acumulan. Un agente comprometido puede envenenar a cualquier agente con el que se comunique, y cada etapa adicional amplía el daño. Control: circuit breakers, límites definidos del radio de impacto, bulkheads, kill switches automáticos.

ASI09: Human-Agent Trust Exploitation

Los agentes generan resultados pulidos y de tono autoritario; las personas tienden a aprobarlos sin mirar. El nivel de supervisión, que en teoría debería ser un control de seguridad, se convierte en la vulnerabilidad (sesgo de automatización). Enlaza directamente con el art. 14 del Reglamento de IA de la UE. Control: puertas HITL que obliguen a verificar las pruebas de forma independiente, UI de participación forzada en lugar de un simple botón de «Aprobar».

ASI10: Rogue Agents

La forma más extrema: un agente que se desvía de manera fundamental de su función prevista, por envenenamiento de memoria acumulado, compromiso de la cadena de suministro o desalineación emergente. OWASP cita el «Replit meltdown» (mediados de 2025) como ejemplo. Hay que decirlo con honestidad: hasta mayo de 2026 no se había confirmado ningún «rogue agent en producción» completamente documentado en una gran empresa; es terreno de investigación de vanguardia y de red teaming. Control: líneas base de comportamiento continuas, tareas canario, kill switches obligatorios.

Escenario: la cascada de compras

Un escenario sin fuente verificada combina ASI08 y ASI09: en él, se convence poco a poco a un agente de compras, a lo largo de tres semanas, de que su límite de autorización es de 500.000 USD. Después, el atacante desencadena diez pedidos falsos por valor de 5 millones de USD. Cada paso por separado parece plausible (patrón de la rana hervida, deriva de memoria ASI06), los aprobadores humanos confían en la creciente pretensión de autoridad del agente (ASI09) y el efecto se propaga en cascada a los agentes de precios y de cumplimiento posteriores (ASI08). Lección: limitar los daños exige tokens de idempotencia en las acciones críticas, límites estrictos del radio de impacto y puertas HITL con verificación independiente de las pruebas, no solo confiar en la recomendación del agente.

Encaje en el marco europeo de cumplimiento normativo

El Agentic Top 10 es un registro de riesgos, no un catálogo de controles. Se sitúa por encima de estándares clásicos como ASVS y API Security Top 10, no en su lugar. Como complemento, MAESTRO (Cloud Security Alliance) aporta el mapa de arquitectura, MITRE ATLAS (versión 5.1.0, noviembre de 2025, vigente en 2026) el manual del atacante y AIVSS (versión 0.8, marzo de 2026; versión 1.0 prevista para finales de 2026) la puntuación con factores de amplificación agénticos. El art. 15 del Reglamento de IA de la UE (ciberseguridad, solidez) y el art. 14 (supervisión humana) cubren conceptualmente muchos riesgos ASI, pero dejan en manos del responsable del despliegue las lagunas específicas de los agentes, como la inyección indirecta o las cascadas multiagente. El art. 32 del RGPD se aplica a la integridad y la confidencialidad; ISO 42001, NIS2 y DORA respaldan los contextos financieros y de infraestructuras críticas.

Para agencias y responsables de decisiones B2B

Si diseñas agentes de IA para clientes o los operas en tu propia empresa, deberías anclar ASI01–ASI10 como checklist obligatoria en el pitch, la arquitectura y el manual de operaciones, no como un silo de seguridad, sino integrada en IAM, logging y procesos de aprobación. Para el B2B en Europa, eso significa en concreto: cada identidad de agente como NHI con credenciales de corta duración, aprobación automática desactivada por norma, procedencia de la memoria y aislamiento de tenants, kill switches en cada entorno de producción y red teaming trimestral. Como agencia de Viena, Blck Alpaca te ayuda a convertir este registro de amenazas en un registro de riesgos auditable que resista ante la auditoría, el supervisor y la dirección.