OWASP Agentic Security (ASI) Top 10 (2026): Riziká agentických AI systémov

OWASP Agentic Top 10 (ASI01–ASI10) je zoznam rizík pre autonómnych AI agentov, ktorý 9. decembra 2025 zverejnil OWASP GenAI Security Project pod hlavičkou Agentic Security Initiative (ASI). Dopĺňa zavedený LLM Top 10 o hrozby špecifické pre agentov, ktoré vznikajú z autonómie, používania nástrojov, koordinácie viacerých agentov a perzistentnej pamäte. Zoznam je referenciou pre nasadzujúce subjekty v regióne DACH, ktoré prevádzkujú agentov v produkcii a musia ich riziká doložiť pred auditom, dozorným orgánom a predstavenstvom.

• Čo to je: Recenzovaný (peer-reviewed) register rizík s desiatimi triedami hrozieb špecifickými pre agentov, nie katalóg kontrol.
• Prečo je potrebný: Agenti plánujú, vyberajú nástroje, zapisujú do pamäte a konajú. Tým sa útočná plocha rozširuje nad rámec toho, čo modeluje LLM Top 10.
• Na čo si dať pozor: Číslovanie T1 až T15 z príručky OWASP z februára 2025 sa často cituje ako ASI01 a nasledujúce, čo vedie k zámenám.

Ktorý zoznam je ktorý? Pasca taxonómie

OWASP medzitým zverejňuje celú rodinu prekrývajúcich sa bezpečnostných artefaktov pre AI. Pre tímy riadenia rizík a obstarávania v regióne DACH je čisté rozlíšenie rozhodujúce:

• OWASP LLM Top 10 (LLM01:2025–LLM10:2025): Riziká modelov a aplikácií pri každej GenAI aplikácii, či už konverzačnej, postavenej na RAG, v štýle copilota alebo agentickej.
• OWASP Agentic Top 10 (ASI01–ASI10, 2026): Riziká autonómnych agentov, zverejnené 9. decembra 2025.
• OWASP AI Exchange, AIVSS, MCP Top 10, Agentic Skills Top 10 (AST10): Doplnkové artefakty pre znalostnú bázu, hodnotenie a úroveň protokolu, resp. skillov.

Dôležité: Kandidátsky zoznam s „Memory Poisoning“ ako ASI01, ktorý stále často koluje, pochádza z príručky OWASP z februára 2025: Agentic AI: Threats and Mitigations vo verzii 1.0 opisovala 15 hrozieb očíslovaných od T1 po T15 (aktuálna verzia 1.1 z decembra 2025 siaha po T17). Memory Poisoning je tam uvedený ako T1. Mnohé praktické články z roku 2025 prevzali toto poradie ako „ASI01“ a citujú ho dodnes. Prekonaný je len tento výklad, nie samotná príručka: finálny zoznam Top 10 ju označuje za svoju základnú taxonómiu a jej hrozby priraďuje k položkám ASI. Memory Poisoning (T1) patrí pod ASI06, Overwhelming Human in the Loop (T10) pod ASI09, Repudiation & Untraceability (T8) pod ASI08 a ASI09.

Prečo agentické systémy potrebujú vlastný zoznam

LLM Top 10 vznikol pre systémy, ktoré prevažne odpovedajú: prompt dnu, completion von, prípadne ukotvené cez RAG. Agentické systémy naopak plánujú, vyvodzujú závery, vyberajú nástroje, zapisujú do pamäte a konajú, a to s minimálnym schvaľovaním jednotlivých krokov človekom. OWASP to zhŕňa takto: agentické systémy dedia všetky riziká LLM a prinášajú úplne nové triedy zraniteľností, ktoré vyplývajú z autonómie, integrácie nástrojov, koordinácie viacerých agentov a perzistentného stavu.

Open-source framework na red teaming DeepTeam opisuje zosilňujúci efekt výstižne: ASI01 (Agent Goal Hijack) = LLM01 (Prompt Injection) × LLM06 (Excessive Agency), ale s viacstupňovým vykonávaním, ktoré znásobuje škodu nad rámec jednej odpovede. ASI07, ASI08 a ASI10 sú podľa DeepTeam nové triedy zraniteľností bez priameho náprotivku v LLM Top 10. OWASP v prílohe A k Agentic Top 10 priraďuje riziká LLM aj týmto položkám (ASI07: LLM02, LLM06; ASI08: LLM01, LLM04, LLM06; ASI10: LLM02, LLM09).

Desať rizík v prehľade

Nasledujúca tabuľka zhŕňa kanonický zoznam, primárnu kategóriu kontrol a súvisiace riziká z LLM Top 10. Priradenie k LLM vychádza z prílohy A dokumentu OWASP Top 10 for Agentic Applications 2026. Označenie „žiadny priamy náprotivok“ vychádza z DeepTeam.

ASI01: Agent Goal Hijack

Útočník manipuluje ciele agenta, výber úloh alebo rozhodovacie cesty, a to cez prompt injection, manipulované výstupy nástrojov, škodlivé artefakty, podvrhnuté správy medzi agentmi alebo otrávené externé dáta. Agent nemusí byť „pokazený“; riadi sa pokynmi, ktoré považuje za legitímne, pretože modely nedokážu spoľahlivo oddeliť inštrukcie od dát. Zdokumentovaný incident: EchoLeak (CVE-2025-32711, CVSS 9,3) v Microsoft 365 Copilot, prvý reálny zero-click prompt injection v produkčnom systéme. Pripravený e-mail obišiel klasifikátor XPIA a exfiltroval citlivý obsah bez jediného kliknutia (Aim Labs, jún 2025).

ASI02: Tool Misuse & Exploitation

Agent koná v rámci svojich autorizovaných oprávnení, ale legitímny nástroj používa nebezpečne: maže dáta, nadmerne volá nákladné API, exfiltruje informácie. Rozdiel oproti ASI03: prístup je legitímny, spôsob použitia nie. Zdokumentované: Amazon Q Developer (CVE-2025-8217). Podvrhnuté inštrukcie vo verzii 1.84.0 rozšírenia pre VS Code by s príznakmi --trust-all-tools --no-interactive zmazali súborové systémy a cloudové zdroje bez potvrdenia (analýza škodlivého kódu od PointGuard AI); rozšírenie malo nainštalované zhruba milión vývojárov. OWASP tento prípad v prílohe D k Agentic Top 10 (ASI Agentic Exploits & Incidents Tracker) priraďuje k ASI01, ASI02 a ASI04.

ASI03: Identity & Privilege Abuse

Agenti pracujú s rozsiahlymi oprávneniami. Ak útočník agenta kompromituje, zdedí jeho oprávnenia. Dedenie oprávnení je dominantné systémové riziko, pretože identity agentov sú v IAM systémoch navrhnutých pre ľudí modelované zle. Odporúča sa zaobchádzať s každým agentom ako s plnohodnotnou neľudskou identitou (Non-Human Identity, NHI) a využiť stavebné prvky ako Microsoft Entra Agent ID (medzičasom všeobecne dostupné), roly agentov v AWS IAM a krátkodobé prístupové údaje.

ASI04: Agentic Supply Chain Vulnerabilities

Na rozdiel od LLM03 (statický dodávateľský reťazec: tréningové dáta, základný model, knižnice v čase buildu) pokrýva ASI04 to, čo agenti načítavajú dynamicky za behu: MCP servery, pluginy, externé nástroje, Agent Cards, subagentov. Zdokumentované: postmark-mcp (Koi Security, september 2025), prvý škodlivý MCP server v reálnom prostredí; každá odoslaná správa sa potajomky kopírovala útočníkovi, pred odstránením mal 1 643 stiahnutí. Protiopatrenie: „agentic SBOM“ (AIBOM) a vynucovanie dôveryhodného registra (Trusted Registry).

ASI05: Unexpected Code Execution

Mnohí agenti generujú a spúšťajú kód ako súčasť svojej funkcie. SecOps Group zdokumentovala len v decembri 2025 vyše 30 CVE na veľkých AI platformách na programovanie. Príklad: CurXecute (CVE-2025-54135), kde otrávený prompt z verejnej správy v Slacku dokázal prepísať ~/.cursor/mcp.json a pri každom spustení Cursora vykonať príkazy útočníka. Kontrola: izolované, efemérne sandboxy (gVisor, Firecracker), Command-Allow-Lists, žiadne Auto-Approve.

ASI06: Memory & Context Poisoning

Agenti uchovávajú perzistentnú pamäť: históriu, preferencie, naučený kontext, RAG úložiská. Jediný úspešný injection môže pamäť trvalo otráviť; každá ďalšia relácia kompromitáciu zdedí. Zdokumentované: útok na pamäť Google Gemini (Johann Rehberger, február 2025) s „delayed tool invocation“ a výskum Lakera (november 2025), v ktorom si kompromitovaní agenti vytvorili trvalé nepravdivé presvedčenia a obhajovali ich proti otázkam ľudí. Správanie typu sleeper agent.

ASI07: Insecure Inter-Agent Communication

Systémy s viacerými agentmi sa koordinujú cez správy. Bez silnej autentifikácie, integrity a pravidiel (policy) sa dajú podstrčiť nepravdivé informácie, pretože správy sú v prirodzenom jazyku a dôvera je implicitná. Zdokumentované: Agent Session Smuggling v protokole A2A (Palo Alto Unit 42, november 2025), trvalá kampaň sociálneho inžinierstva, ktorú vedie agent proti agentovi, namiesto jednorazového útoku. Kontrola: mTLS, kryptograficky podpísané AgentCards, explicitný graf spolupráce.

ASI08: Cascading Failures

V prepojených workflowoch s viacerými agentmi sa chyby sčítavajú. Kompromitovaný agent môže otráviť každého agenta, s ktorým komunikuje, a každý ďalší stupeň škodu zväčšuje. Kontrola: Circuit Breaker, definované limity dosahu škody (Blast-Radius-Caps), Bulkheads, automatické kill-switche.

ASI09: Human-Agent Trust Exploitation

Agenti vytvárajú uhladené, autoritatívne znejúce výstupy; ľudia majú sklon ich schváliť bez kontroly. Úroveň dohľadu, ktorá má byť bezpečnostnou kontrolou, sa tak stáva zraniteľnosťou (automation bias). Priamo to nadväzuje na EU AI Act čl. 14. Kontrola: HITL brány, ktoré vynucujú nezávislé overenie dôkazov, a Force-Engagement-UI namiesto obyčajného tlačidla „Approve“.

ASI10: Rogue Agents

Najextrémnejšia podoba: agent, ktorý sa zásadne odchyľuje od zamýšľanej funkcie, a to v dôsledku nahromadeného memory poisoningu, kompromitácie dodávateľského reťazca alebo emergentného nesúladu s cieľmi (misalignment). OWASP ako príklad uvádza „Replit-Meltdown“ (polovica roka 2025). Treba povedať otvorene: plne zdokumentovaný „rogue agent v produkcii“ vo veľkom podniku nebol do mája 2026 potvrdený, ide o oblasť špičkového výskumu a red teamingu. Kontrola: priebežné referenčné profily správania (baselines), canary úlohy, povinné kill-switche.

Scenár: kaskáda v obstarávaní

Scenár bez doloženého zdroja spája ASI08 a ASI09: obstarávacieho agenta počas troch týždňov postupne presviedčajú, že jeho autorizačný limit je 500 000 USD. Útočník potom zadá desať falošných objednávok v celkovej hodnote 5 mil. USD. Každý jednotlivý krok pôsobí vierohodne (syndróm uvarenej žaby, memory drift podľa ASI06), ľudskí schvaľovatelia dôverujú rastúcemu nároku agenta na autoritu (ASI09) a efekt sa kaskádovito šíri cez nadväzujúcich agentov pre pricing a compliance (ASI08). Ponaučenie: obmedzenie škôd vyžaduje idempotenčné tokeny pri kritických akciách, pevné limity dosahu škody (Blast-Radius-Caps) a HITL brány s nezávislým overením dôkazov, nielen dôveru v odporúčanie agenta.

Zaradenie do compliance rámca DACH

Agentic Top 10 je register rizík, nie katalóg kontrol. Stojí nad klasickými štandardmi ako ASVS a API Security Top 10, nie namiesto nich. Doplnkovo dodáva MAESTRO (Cloud Security Alliance) architektonickú mapu, MITRE ATLAS (verzia 5.1.0, november 2025, stav 2026) playbook útočníka a AIVSS (verzia 0.8, marec 2026; verzia 1.0 sa očakáva koncom roka 2026) hodnotenie so zosilňujúcimi faktormi pre agentov. EU AI Act čl. 15 (kybernetická bezpečnosť, robustnosť) a čl. 14 (ľudský dohľad) koncepčne pokrývajú mnohé riziká ASI, no medzery špecifické pre agentov, napríklad nepriamy injection alebo kaskády medzi viacerými agentmi, nechávajú na nasadzujúcom subjekte. GDPR čl. 32 sa uplatní pri integrite a dôvernosti; ISO 42001, NIS2 a DORA dopĺňajú rámec pre finančný sektor a kritickú infraštruktúru (KRITIS).

Pre agentúry a rozhodovateľov v B2B

Ak navrhuješ AI agentov pre klientov alebo ich prevádzkuješ interne, ukotvi ASI01–ASI10 ako povinný kontrolný zoznam v pitchi, architektúre aj prevádzkovej príručke, a to nie ako bezpečnostné silo, ale ako súčasť IAM, logovania a schvaľovacích procesov. Pre B2B v regióne DACH to konkrétne znamená: každá identita agenta ako NHI s krátkodobými prístupovými údajmi, Auto-Approve zásadne vypnuté, sledovanie pôvodu pamäte (memory provenance) a izolácia tenantov, kill-switche v každom produkčnom prostredí a štvrťročný red teaming. Ako viedenská agentúra pomáha Blck Alpaca previesť tento register hrozieb do auditovateľného registra rizík, ktorý obstojí pred auditom, dozorným orgánom aj predstavenstvom.