Omówienie OWASP LLM Top 10 (2025): dziesięć ryzyk bezpieczeństwa aplikacji LLM

OWASP LLM Top 10 (2025) to opracowana przez OWASP GenAI Security Project lista dziesięciu najpoważniejszych ryzyk bezpieczeństwa aplikacji opartych na dużych modelach językowych. Obejmuje zagrożenia od Prompt Injection, przez Sensitive Information Disclosure, po Unbounded Consumption.

• Co to jest? Najczęściej stosowana konsensusowa lista najpoważniejszych ryzyk bezpieczeństwa LLM, obowiązująca dla chatbotów, systemów RAG, copilotów i agentów.
• Kto za tym stoi? OWASP GenAI Security Project (wcześniej OWASP Top 10 for LLM Applications, strona projektu: genai.owasp.org). Edycja 2025 zastąpiła listę z 2023 roku.
• Dlaczego to ważne właśnie teraz? Jeśli wdrażasz agentów AI, ta lista pokrywa tylko podstawy. Dla autonomicznych systemów korzystających z narzędzi od 9 grudnia 2025 roku istnieje dodatkowo OWASP Agentic Top 10 (od ASI01 do ASI10).

Stan na październik 2026: OWASP GenAI Security Project opublikował 3 sierpnia 2026 roku listę LLM Top 10 2026. Według analizy Cloud Security Alliance Excessive Agency awansuje w niej z 6. na 3. miejsce, a szersza kategoria Hidden Context Exposure zastępuje System Prompt Leakage. Ten artykuł omawia edycję 2025. Przy nowych ocenach ryzyka aktualnym punktem odniesienia jest edycja 2026.

Kontekst: czym różnią się poszczególne listy OWASP?

OWASP publikuje obecnie całą rodzinę nakładających się na siebie artefaktów bezpieczeństwa AI, które zespoły ds. zakupów, audytu i ryzyka regularnie mylą w praktyce. Dla decydentów B2B to rozróżnienie ma kluczowe znaczenie:

• OWASP Top 10 for Large Language Model Applications 2025 (od LLM01:2025 do LLM10:2025): Lista omawiana w tym artykule. Dotyczy ryzyk na poziomie modelu i aplikacji w każdej aplikacji GenAI/LLM. To punkt odniesienia, który zna już większość zespołów bezpieczeństwa.
• OWASP Top 10 for Agentic Applications 2026 (od ASI01 do ASI10): Opublikowana przez ten sam projekt 9 grudnia 2025 roku i opracowana w ramach Agentic Security Initiative. Dotyczy ryzyk wynikających z autonomii, integracji narzędzi i koordynacji wielu agentów.
• OWASP AI Exchange, AI Security and Privacy Guide, MCP Top 10, AIVSS: Uzupełniające elementy (baza wiedzy, poziom protokołu, system oceny), które wspierają listy Top 10, ale ich nie zastępują.

Ważne: lista LLM Top 10 opiera się na klasycznych standardach bezpieczeństwa aplikacji, takich jak OWASP ASVS, i na API Security Top 10, zamiast je zastępować. Aplikacja LLM nadal potrzebuje uwierzytelniania, zarządzania sesjami, walidacji danych wejściowych i higieny kryptograficznej. Pokusa, by traktować bezpieczeństwo AI jako osobny silos, to jeden z najczęstszych błędów koncepcyjnych.

Dziesięć ryzyk w skrócie

Poniższa tabela zestawia wszystkie dziesięć pozycji z krótkim opisem i głównym środkiem zaradczym.

Trzy pozycje nowe lub mocno zmienione w 2025 roku

W porównaniu z poprzednią listą OWASP wyraźnie dostosował edycję 2025 do współczesnych architektur. Na szczególną uwagę zasługują trzy punkty:

• LLM07 System Prompt Leakage dodano jako osobną pozycję, ponieważ rzeczywiste exploity pokazały, że rzekomo prywatne prompty systemowe można wydobyć celowym sondowaniem. Wniosek: prompt systemowy nie jest sejfem. Sekrety, dane dostępowe ani logika bezpieczeństwa nie powinny się w nim znaleźć.
• LLM08 Vector and Embedding Weaknesses to nowa pozycja, która odpowiada na boom na RAG. Szkodliwe dane w bazach wektorowych, zatruwanie embeddingów i wycieki embeddingów między tenantami to realne ryzyka, gdy tylko kilku klientów współdzieli ten sam indeks wektorowy.
• LLM10 Unbounded Consumption rozszerza dawny punkt dotyczący denial-of-service o wymiar kosztowy (denial-of-wallet). W przypadku agentów efekt wzmocnienia jest szczególnie krytyczny, bo wieloetapowe plany zwielokrotniają zużycie tokenów.

Związek z agentami AI: LLM06 jako pomost

Dla agencji i decydentów B2B najważniejszy wniosek koncepcyjny brzmi: listę LLM Top 10 napisano dla systemów, które w gruncie rzeczy odpowiadają. Prompt wchodzi, odpowiedź wychodzi, ewentualnie ugruntowana przez RAG. Systemy agentowe natomiast planują, wnioskują, wybierają narzędzia, zapisują do pamięci i działają przy minimalnej akceptacji człowieka na każdym kroku.

OWASP ujmuje to tak (w wolnym przekładzie, Sotiropoulos i in., 9 grudnia 2025 roku): systemy agentowe dziedziczą wszystkie ryzyka LLM i wprowadzają zupełnie nowe klasy podatności wynikające z autonomii, integracji narzędzi, koordynacji wielu agentów i trwałego stanu. Pomostem między oboma światami jest LLM06 Excessive Agency, pozycja wyraźnie rozszerzona w 2025 roku o architektury agentowe, która bezpośrednio poprzedza kilka ryzyk agentowych (ASI02, ASI03, ASI10).

Framework open source do red teamingu DeepTeam, który odwzorowuje obie listy, trafnie opisuje efekt wzmocnienia: ASI01 (Agent Goal Hijack) odpowiada LLM01 (Prompt Injection) pomnożonemu przez LLM06 (Excessive Agency), ale z wieloetapowym wykonaniem, które powiększa szkody poza ramy pojedynczej odpowiedzi. Trzy ryzyka agentowe (ASI07 Insecure Inter-Agent Communication, ASI08 Cascading Failures, ASI10 Rogue Agents) w ogóle nie mają odpowiednika w LLM Top 10. Kto czyta tylko LLM Top 10, systematycznie nie docenia ryzyka agentowego.

Konkretny przykład: EchoLeak (CVE-2025-32711)

Jak daleko sięga prompt injection w systemach produkcyjnych, pokazuje EchoLeak, pierwszy rzeczywiście udokumentowany przypadek zero-click w produkcyjnym systemie LLM. Podatność w Microsoft 365 Copilot została ujawniona przez Aim Labs w czerwcu 2025 roku (CVE-2025-32711, CVSS 9,3, opisana w arXiv 2509.10540, Reddy i in., wrzesień 2025).

Przebieg w pseudokrokach:

1. Atakujący wysyła ofierze jeden spreparowany e-mail.
2. Ukryte instrukcje omijają klasyfikator XPIA Microsoftu (Cross-Prompt Injection Attempt).
3. Mechanizm usuwania linków zewnętrznych zostaje ominięty za pomocą linków Markdown w stylu referencyjnym (reference-style).
4. Automatycznie ładowane obrazy + dozwolone przez CSP proxy Microsoft Teams eksfiltrują najbardziej wrażliwe treści z kontekstu Copilota.
5. Użytkownik nie musi wykonać ani jednego kliknięcia (zero-click).

Dla tego zjawiska w Aim Labs ukuto termin LLM Scope Violation. Microsoft wdrożył poprawkę po stronie serwera, bez żadnych działań po stronie klientów. Główny wniosek dla komitetów ryzyka: ominięty został nawet sprawdzony klasyfikator uznanego dostawcy (XPIA). W bliźniaczym przypadku CamoLeak (GitHub Copilot Chat, CVSS 9,6, ujawniony w październiku 2025 roku przez Omera Mayraza/Legit Security po zgłoszeniu przez HackerOne w czerwcu 2025 roku) ochronę CSP ominięto za pośrednictwem własnego proxy obrazów Camo GitHuba, aby znak po znaku wyciągać sekrety z prywatnych repozytoriów; w efekcie GitHub 14 sierpnia 2025 roku całkowicie wyłączył renderowanie obrazów w Copilot Chat.

Guardrails nie są więc panaceum. Każdy dotychczas opublikowany guardrail kompetentni badacze obchodzili w ciągu kilku miesięcy od premiery. Skuteczna ochrona wymaga obrony wielowarstwowej: filtr po stronie wejścia plus egzekwowanie zakresu i pochodzenia plus filtr po stronie wyjścia plus monitorowanie zachowania. Deklaracje dostawców w rodzaju „Nasz guardrail blokuje 99,x% ataków prompt injection” należy traktować jako marketing, dopóki nie zweryfikuje ich niezależny red team.

Wykrywanie i obrona w praktyce

Obrona w głąb oznacza dla aplikacji LLM konkretnie:

• Po stronie wejścia: Zasadniczo traktuj treści zewnętrzne (dokumenty, e-maile, korpus RAG, strony internetowe, wyniki narzędzi) jako niezaufane. Oddziel kanał instrukcji od kanału danych. Stosuj filtry wejścia, takie jak Llama Guard, Microsoft Prompt Shield, NVIDIA NeMo Guardrails lub Lakera Guard (stan na 2026 rok).
• W czasie działania: Kontrola dostępu oparta na pochodzeniu danych, tak aby treść oznaczona jako zewnętrzna nie mogła uruchomić uprzywilejowanego dostępu do danych. Ogranicz renderowanie Markdownu i zablokuj automatyczne pobieranie obrazów.
• Po stronie wyjścia: Sprawdzaj dane wyjściowe pod kątem oczekiwanych wzorców i nigdy nie wykonuj ich bez weryfikacji jako kodu, zapytania do bazy danych czy HTML w systemach, które przetwarzają je dalej (LLM05).
• Eksploatacja: Ciągły red teaming z użyciem Garak, PyRIT lub DeepTeam. Twarde limity kosztów i limity zapytań przeciw Unbounded Consumption. Pełne logowanie na potrzeby analizy śledczej.

Trzeba też uczciwie dodać: guardrails generują opóźnienia (zwykle od 100 do 500 milisekund na regułę w środowisku produkcyjnym) i koszty (każda reguła to kolejne wywołanie inferencji). W wielojęzycznych kontekstach w regionie DACH (Niemcy, Austria, Szwajcaria; mieszanka DE/FR/IT/EN) odsetek wyników fałszywie dodatnich nadal jest wysoki.

Dla agencji i firm B2B

Agencje marketingowe i MŚP w Europie coraz częściej wdrażają produkcyjnie copiloty oparte na LLM, asystentów RAG i pierwszych agentów, często jako kupioną funkcję SaaS w Microsoft 365 Copilot, ChatGPT Enterprise, Claude for Work lub Gemini for Workspace (stan na 2026 rok). Właśnie tu realną powierzchnię ataku stanowią LLM01 (pośredni prompt injection przez treści), LLM02 (ujawnianie danych w podsumowaniach) i LLM06 (zbyt szerokie uprawnienia narzędzi).

Trzy wskazówki dotyczące zakupów i nadzoru: po pierwsze, „zgodny z OWASP” nie jest wiarygodną deklaracją, ponieważ OWASP publikuje wytyczne, a nie certyfikaty. Po drugie, każdy istotny guardrail dostawcy powinien działać na najostrzejszym poziomie, a logi dostawcy powinny trafiać do SIEM. Po trzecie: jeśli planujesz agentów, oprócz LLM Top 10 musisz przeczytać OWASP Agentic Top 10, inaczej Twój model ryzyka pozostanie niekompletny. Blck Alpaca z Wiednia pomaga osadzić te ryzyka w kontekście unijnego AI Act, RODO i ISO 42001 oraz dobrać odpowiednie warstwy ochrony. Listy OWASP są aktualizowane w nieregularnych odstępach; adres genai.owasp.org powinien trafić do zakładek w każdym procesie zarządzania ryzykiem.