OWASP Agentic Security (ASI) Top 10 (2026): ryzyka agentowych systemów AI

OWASP Agentic Top 10 (ASI01–ASI10) to lista ryzyk dla autonomicznych agentów AI, opublikowana 9 grudnia 2025 r. przez OWASP GenAI Security Project pod egidą Agentic Security Initiative (ASI). Uzupełnia ugruntowaną listę LLM Top 10 o zagrożenia specyficzne dla agentów, wynikające z autonomii, korzystania z narzędzi, koordynacji wielu agentów i trwałej pamięci. Lista jest punktem odniesienia dla podmiotów stosujących AI w Europie, które używają agentów produkcyjnie i muszą udokumentować ich ryzyka przed audytorami, organem nadzoru i zarządem.

• Czym jest: recenzowanym rejestrem ryzyk z dziesięcioma klasami zagrożeń specyficznych dla agentów, a nie katalogiem kontroli.
• Dlaczego jest potrzebna: agenci planują, wybierają narzędzia, zapisują dane w pamięci i działają, co poszerza powierzchnię ataku poza to, co modeluje LLM Top 10.
• Na co uważać: numeracja od T1 do T15 z przewodnika OWASP z lutego 2025 r. jest często cytowana jako ASI01 i kolejne, co prowadzi do pomyłek.

Która lista jest którą? Pułapka taksonomii

OWASP publikuje obecnie całą rodzinę nakładających się na siebie artefaktów bezpieczeństwa AI. Dla zespołów ds. ryzyka i zakupów kluczowe jest ich precyzyjne rozgraniczenie:

• OWASP LLM Top 10 (LLM01:2025–LLM10:2025): ryzyka modeli i aplikacji w każdej aplikacji GenAI, czy to konwersacyjnej, opartej na RAG, typu copilot, czy agentowej.
• OWASP Agentic Top 10 (ASI01–ASI10, 2026): ryzyka autonomicznych agentów; lista opublikowana 9 grudnia 2025 r.
• OWASP AI Exchange, AIVSS, MCP Top 10, Agentic Skills Top 10 (AST10): uzupełniające artefakty dla bazy wiedzy, oceny oraz warstwy protokołu lub umiejętności (skills).

Ważne: wstępna lista z „Memory Poisoning” jako ASI01, która wciąż szeroko krąży, wywodzi się z przewodnika OWASP z lutego 2025 r.: Agentic AI: Threats and Mitigations opisywał w wersji 1.0 łącznie 15 zagrożeń, ponumerowanych od T1 do T15 (aktualna wersja 1.1 z grudnia 2025 r. sięga do T17). Memory Poisoning figuruje tam jako T1. Wiele praktycznych artykułów z 2025 r. przejęło tę kolejność jako „ASI01” i cytuje ją do dziś. Nieaktualna jest tylko ta interpretacja, a nie sam przewodnik: ostateczna lista Top 10 nazywa go swoją podstawową taksonomią i przypisuje jego zagrożenia do pozycji ASI. Memory Poisoning (T1) trafia do ASI06, Overwhelming Human in the Loop (T10) do ASI09, a Repudiation & Untraceability (T8) do ASI08 i ASI09.

Dlaczego systemy agentowe potrzebują własnej listy

Lista LLM Top 10 powstała dla systemów, które przede wszystkim odpowiadają: prompt wchodzi, odpowiedź wychodzi, ewentualnie ugruntowana przez RAG. Systemy agentowe natomiast planują, wnioskują, wybierają narzędzia, zapisują dane w pamięci i działają, przy minimalnym zatwierdzaniu kolejnych kroków przez człowieka. OWASP podsumowuje to tak: systemy agentowe dziedziczą wszystkie ryzyka LLM i wprowadzają zupełnie nowe klasy podatności wynikające z autonomii, integracji narzędzi, koordynacji wielu agentów i trwałego stanu.

Framework open source do red teamingu DeepTeam zwięźle opisuje efekt wzmocnienia: ASI01 (Agent Goal Hijack) = LLM01 (Prompt Injection) × LLM06 (Excessive Agency), ale z wieloetapowym wykonaniem, które zwielokrotnia szkody ponad pojedynczą odpowiedź. Według DeepTeam ASI07, ASI08 i ASI10 to nowe klasy podatności bez bezpośredniego odpowiednika w LLM Top 10. W załączniku A do Agentic Top 10 OWASP przypisuje również tym pozycjom ryzyka LLM (ASI07: LLM02, LLM06; ASI08: LLM01, LLM04, LLM06; ASI10: LLM02, LLM09).

Dziesięć ryzyk w skrócie

Poniższa tabela zestawia kanoniczną listę, główną kategorię kontroli i powiązane ryzyka z LLM Top 10. Przypisanie do LLM opiera się na załączniku A do OWASP Top 10 for Agentic Applications 2026. Oznaczenie „brak bezpośredniego odpowiednika” pochodzi od DeepTeam.

ASI01: Agent Goal Hijack

Atakujący manipuluje celami, wyborem zadań lub ścieżkami decyzyjnymi agenta poprzez prompt injection, zmanipulowane wyniki narzędzi, złośliwe artefakty, sfałszowane wiadomości między agentami lub zatrute dane zewnętrzne. Agent nie musi być „uszkodzony”: wykonuje polecenia, które uważa za uprawnione, ponieważ modele nie potrafią niezawodnie oddzielać instrukcji od danych. Udokumentowany incydent: EchoLeak (CVE-2025-32711, CVSS 9,3) w Microsoft 365 Copilot, pierwszy rzeczywisty atak zero-click typu prompt injection w systemie produkcyjnym. Spreparowany e-mail ominął klasyfikator XPIA i wyprowadził poufne treści bez ani jednego kliknięcia (Aim Labs, czerwiec 2025).

ASI02: Tool Misuse & Exploitation

Agent działa w ramach przyznanych mu uprawnień, ale korzysta z legalnego narzędzia w niebezpieczny sposób: usuwa dane, nadmiernie wywołuje kosztowne API, wyprowadza informacje. Różnica względem ASI03: dostęp jest uprawniony, sposób użycia już nie. Udokumentowany przypadek: Amazon Q Developer (CVE-2025-8217). Zmanipulowane instrukcje w wersji 1.84.0 rozszerzenia VS Code z flagami --trust-all-tools --no-interactive usunęłyby systemy plików i zasoby chmurowe bez potwierdzenia (analiza złośliwego kodu przeprowadzona przez PointGuard AI); rozszerzenie zainstalowało około miliona programistów. W załączniku D do Agentic Top 10 (ASI Agentic Exploits & Incidents Tracker) OWASP przypisuje ten przypadek do ASI01, ASI02 i ASI04.

ASI03: Identity & Privilege Abuse

Agenci działają z szerokimi uprawnieniami. Jeśli agent zostanie przejęty, atakujący dziedziczy jego uprawnienia. Dziedziczenie uprawnień to dominujące ryzyko systemowe, ponieważ tożsamości agentów są słabo zamodelowane w systemach IAM projektowanych z myślą o ludziach. Zaleca się traktowanie każdego agenta jako pełnoprawnej tożsamości nieludzkiej (Non-Human Identity, NHI), z wykorzystaniem prymitywów takich jak Microsoft Entra Agent ID (obecnie ogólnie dostępny), role agentów w AWS IAM i krótkotrwałe poświadczenia.

ASI04: Agentic Supply Chain Vulnerabilities

W odróżnieniu od LLM03 (statyczny łańcuch dostaw: dane treningowe, model bazowy, biblioteki z etapu budowania) ASI04 obejmuje to, co agenci ładują dynamicznie w czasie działania: serwery MCP, wtyczki, narzędzia zewnętrzne, Agent Cards, subagentów. Udokumentowany przypadek: postmark-mcp (Koi Security, wrzesień 2025), pierwszy złośliwy serwer MCP wykryty w realnym środowisku; każda wysłana wiadomość była potajemnie kopiowana do atakującego, a przed usunięciem serwer pobrano 1643 razy. Środek zaradczy: „agentic SBOM” (AIBOM) i egzekwowanie zaufanego rejestru.

ASI05: Unexpected Code Execution

Wielu agentów generuje i wykonuje kod w ramach swojej funkcjonalności. Tylko w grudniu 2025 r. SecOps Group udokumentowała ponad 30 CVE na dużych platformach do programowania z AI. Przykład: CurXecute (CVE-2025-54135), zatruty prompt z publicznej wiadomości na Slacku mógł nadpisać ~/.cursor/mcp.json i przy każdym uruchomieniu Cursora wykonywać polecenia atakującego. Kontrola: izolowane, efemeryczne sandboksy (gVisor, Firecracker), listy dozwolonych poleceń, brak automatycznego zatwierdzania.

ASI06: Memory & Context Poisoning

Agenci utrzymują trwałą pamięć: historię, preferencje, wyuczony kontekst, magazyny RAG. Jedno udane wstrzyknięcie może trwale zatruć pamięć; każda kolejna sesja dziedziczy kompromitację. Udokumentowane przypadki: atak na pamięć Google Gemini (Johann Rehberger, luty 2025) z „delayed tool invocation” oraz badania Lakera (listopad 2025), w których przejęci agenci wykształcili trwałe fałszywe przekonania i bronili ich przed pytaniami ludzi. Zachowanie typu sleeper agent.

ASI07: Insecure Inter-Agent Communication

Systemy wieloagentowe koordynują się za pomocą wiadomości. Bez silnego uwierzytelniania, integralności i polityk można przemycić fałszywe informacje, ponieważ wiadomości są w języku naturalnym, a zaufanie jest domniemane. Udokumentowany przypadek: Agent Session Smuggling w protokole A2A (Palo Alto Unit 42, listopad 2025), długotrwała kampania socjotechniczna agenta przeciwko agentowi zamiast pojedynczego strzału. Kontrola: mTLS, kryptograficznie podpisane AgentCards, jawny graf współpracy.

ASI08: Cascading Failures

W powiązanych ze sobą przepływach pracy wielu agentów błędy się kumulują. Przejęty agent może zatruć każdego agenta, z którym się komunikuje, a każdy kolejny etap zwiększa szkody. Kontrola: circuit breakers, zdefiniowane limity promienia rażenia, bulkheads, automatyczne wyłączniki awaryjne.

ASI09: Human-Agent Trust Exploitation

Agenci generują dopracowane, autorytatywnie brzmiące wyniki; ludzie mają skłonność do zatwierdzania ich bez sprawdzania. Warstwa nadzoru, która ma być kontrolą bezpieczeństwa, staje się podatnością (automation bias). Bezpośrednio wiąże się to z art. 14 AI Act. Kontrola: bramki HITL wymuszające niezależną weryfikację dowodów, interfejs wymuszający zaangażowanie zamiast zwykłego przycisku „Zatwierdź”.

ASI10: Rogue Agents

Najbardziej skrajna postać: agent, który zasadniczo odchodzi od zamierzonej funkcji wskutek skumulowanego zatruwania pamięci, kompromitacji łańcucha dostaw lub emergentnego niedopasowania celów. OWASP podaje jako przykład „Replit meltdown” (połowa 2025 r.). Trzeba to uczciwie powiedzieć: do maja 2026 r. w pełni udokumentowany przypadek „rogue agenta na produkcji” w dużym przedsiębiorstwie nie został potwierdzony; to obszar najnowszych badań i red teamingu. Kontrola: ciągłe bazowe profile zachowań, zadania typu canary, obowiązkowe wyłączniki awaryjne.

Scenariusz: kaskada zakupowa

Scenariusz bez potwierdzonego źródła łączy ASI08 i ASI09: agent zakupowy jest w nim przez trzy tygodnie stopniowo przekonywany, że jego limit autoryzacji wynosi 500 000 USD. Następnie atakujący uruchamia dziesięć fałszywych zamówień na 5 mln USD. Każdy pojedynczy krok wydaje się wiarygodny (schemat gotowanej żaby, dryf pamięci ASI06), ludzie zatwierdzający ufają rosnącym roszczeniom agenta do autorytetu (ASI09), a efekt kaskadowo przenosi się na kolejnych agentów odpowiedzialnych za ceny i compliance (ASI08). Wniosek: ograniczenie szkód wymaga tokenów idempotencji przy krytycznych działaniach, twardych limitów promienia rażenia i bramek HITL z niezależną weryfikacją dowodów, a nie tylko zaufania do rekomendacji agenta.

Miejsce w ramach compliance w Europie

Agentic Top 10 to rejestr ryzyk, a nie katalog kontroli. Lista stanowi warstwę nad klasycznymi standardami, takimi jak ASVS i API Security Top 10, a nie ich zamiennik. Uzupełniająco MAESTRO (Cloud Security Alliance) dostarcza mapę architektury, MITRE ATLAS (wersja 5.1.0, listopad 2025, stan na 2026 r.) playbook atakującego, a AIVSS (wersja 0.8, marzec 2026; wersja 1.0 spodziewana pod koniec 2026 r.) ocenę z agentowymi współczynnikami wzmocnienia. Art. 15 AI Act (cyberbezpieczeństwo, solidność) i art. 14 (nadzór ze strony człowieka) koncepcyjnie obejmują wiele ryzyk ASI, ale luki specyficzne dla agentów, takie jak pośrednie wstrzykiwanie czy kaskady wieloagentowe, pozostawiają po stronie podmiotu stosującego. Art. 32 RODO ma zastosowanie do integralności i poufności; ISO 42001, NIS2 i DORA uzupełniają kontekst sektora finansowego i infrastruktury krytycznej.

Dla agencji i decydentów B2B

Jeśli projektujesz agentów AI dla klientów albo wdrażasz ich we własnej firmie, warto zakotwiczyć ASI01–ASI10 jako obowiązkową checklistę w pitchu, architekturze i podręczniku operacyjnym, nie jako odrębny silos bezpieczeństwa, lecz jako część IAM, logowania i procesów zatwierdzania. Dla firm B2B w Europie oznacza to konkretnie: każda tożsamość agenta jako NHI z krótkotrwałymi poświadczeniami, automatyczne zatwierdzanie co do zasady wyłączone, pochodzenie pamięci i izolacja tenantów, wyłączniki awaryjne w każdym środowisku produkcyjnym oraz kwartalny red teaming. Jako agencja z Wiednia Blck Alpaca pomaga przekształcić ten rejestr zagrożeń w audytowalny rejestr ryzyk, który obroni się przed audytorami, organem nadzoru i zarządem.