OWASP LLM Top 10 (2025) vysvetlené: Desať bezpečnostných rizík pre LLM aplikácie
OWASP LLM Top 10 (2025) je zoznam desiatich najzávažnejších bezpečnostných rizík pre aplikácie s veľkými jazykovými modelmi, ktorý vydal projekt OWASP GenAI Security Project. Siaha od Prompt Injection cez Sensitive Information Disclosure až po Unbounded Consumption a až do nástupníckej edície z augusta 2026 bol referenciou pre zabezpečenie LLM systémov a systémov AI agentov.
Na prvý pohľad
- Zoznam OWASP LLM Top 10 (2025) zverejnil projekt OWASP GenAI Security Project ako náhradu za zoznam z roku 2023; platí pre každú GenAI aplikáciu od chatbota cez RAG až po AI agenta. V auguste 2026 nasledovala edícia 2026.
- LLM01 Prompt Injection je samostatné riziko s najzávažnejšími následkami; prvým reálnym zero-click prípadom bol EchoLeak v Microsoft 365 Copilot (CVE-2025-32711, CVSS 9,3); zraniteľnosť v júni 2025 odhalila spoločnosť Aim Labs.
- Tri položky sú v roku 2025 nové alebo výrazne rozšírené: LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses a LLM10 Unbounded Consumption (Denial-of-Wallet).
- LLM06 Excessive Agency je koncepčným mostom k bezpečnosti agentov: priamo predchádza viacerým rizikám agentov z OWASP Agentic Top 10 (2026).
- Kto prevádzkuje AI agentov, pokryje pomocou LLM Top 10 len základ. Autonómia, používanie nástrojov a perzistentná pamäť rozširujú útočnú plochu a navyše si vyžadujú OWASP Agentic Top 10 (ASI01 až ASI10).
- Guardrails nie sú všeliek: EchoLeak obišiel klasifikátor XPIA od Microsoftu. Účinná ochrana potrebuje viacvrstvovú obranu zloženú zo vstupného filtra, scope enforcementu, výstupného filtra a monitorovania správania.
OWASP LLM Top 10 (2025) je zoznam desiatich najzávažnejších bezpečnostných rizík pre aplikácie s veľkými jazykovými modelmi, ktorý vydal projekt OWASP GenAI Security Project. Siaha od Prompt Injection cez Sensitive Information Disclosure až po Unbounded Consumption.
- Čo to je? Najpoužívanejší konsenzuálny zoznam najzávažnejších bezpečnostných rizík LLM, platný pre chatboty, RAG systémy, copiloty a agentov.
- Kto za tým stojí? Projekt OWASP GenAI Security Project (predtým OWASP Top 10 for LLM Applications, domovská stránka projektu genai.owasp.org). Edícia 2025 nahradila zoznam z roku 2023.
- Prečo je to relevantné práve teraz? Kto nasadzuje AI agentov, pokryje tým len základ. Pre autonómne systémy, ktoré používajú nástroje, existuje od 9. decembra 2025 navyše OWASP Agentic Top 10 (ASI01 až ASI10).
Stav k októbru 2026: Projekt OWASP GenAI Security Project zverejnil 3. augusta 2026 LLM Top 10 2026. Podľa analýzy Cloud Security Alliance Excessive Agency v novej edícii stúpa zo 6. na 3. miesto a širšia kategória Hidden Context Exposure nahrádza System Prompt Leakage. Tento článok vysvetľuje edíciu 2025. Pre nové hodnotenia rizík je aktuálnou referenciou edícia 2026.
Zaradenie: ktorý zoznam OWASP je ktorý?
OWASP dnes publikuje celú rodinu prekrývajúcich sa artefaktov bezpečnosti AI, ktoré si tímy pre obstarávanie, audit a riadenie rizík v praxi pravidelne zamieňajú. Pre B2B rozhodovateľov v regióne DACH je toto rozlíšenie kľúčové:
- OWASP Top 10 for Large Language Model Applications 2025 (LLM01:2025 až LLM10:2025): Zoznam, ktorému sa venuje tento článok. Pokrýva riziká na úrovni modelu a aplikácie v každej GenAI/LLM aplikácii. Je to referencia, ktorú väčšina bezpečnostných tímov v regióne DACH už pozná.
- OWASP Top 10 for Agentic Applications 2026 (ASI01 až ASI10): Zverejnil ho ten istý projekt 9. decembra 2025, vznikol v rámci Agentic Security Initiative. Pokrýva riziká z autonómie, integrácie nástrojov a koordinácie viacerých agentov.
- OWASP AI Exchange, AI Security and Privacy Guide, MCP Top 10, AIVSS: Doplnkové stavebné prvky (vedomostná báza, úroveň protokolu, bodovací systém), ktoré zoznamy Top 10 sprevádzajú, ale nenahrádzajú.
Dôležité: LLM Top 10 stavia na klasických štandardoch aplikačnej bezpečnosti, ako je OWASP ASVS, a na API Security Top 10, nenahrádza ich. LLM aplikácia naďalej potrebuje autentifikáciu, správu relácií, validáciu vstupov a kryptografickú hygienu. Pokušenie riešiť bezpečnosť AI ako samostatné silo je jednou z najčastejších koncepčných chýb.
Prehľad desiatich rizík
Nasledujúca tabuľka zhŕňa všetkých desať položiek s krátkym opisom a hlavným protiopatrením.
Riziko (2025) | Krátky opis | Protiopatrenie |
|---|---|---|
LLM01 Prompt Injection | Priame a nepriame podstrčenie inštrukcií do vstupu LLM, ktoré prepíšu zamýšľané správanie. Samostatné riziko s najzávažnejšími následkami. | Externý obsah považovať za nedôveryhodný, oddeliť kanál inštrukcií od dátového kanála, vstupné a výstupné filtre, riadenie prístupu podľa pôvodu obsahu. |
LLM02 Sensitive Information Disclosure | Prezradenie PII, duševného vlastníctva, obchodných tajomstiev, system promptov a embeddingov vo výstupoch LLM; zahŕňa PII inverziu a extrakciu embeddingov. | Čistenie dát, filtrovanie výstupov, integrácia DLP. |
LLM03 Supply Chain | Kompromitácia základných modelov, doladených váh, trénovacích dát, registrov modelov a závislostí. Statické riziko, teda v čase buildu. | Fixovanie verzií závislostí, overenie pôvodu, skenovanie pred nasadením, SBOM/AIBOM. |
LLM04 Data and Model Poisoning | Manipulované trénovacie, fine-tuningové alebo RAG dáta, ktoré model skresľujú alebo doň vkladajú skryté backdoory; vrátane open-source modelov s backdoorom. | Kontrola kvality a pôvodu dát, hodnotenie dôveryhodnosti zdrojov, validácia pred embeddingom. |
LLM05 Improper Output Handling | Nadväzujúce systémy považujú výstup LLM za dôveryhodný vstup; XSS, SQLi, SSRF, command injection cez výstup modelu. | Výstup striktne validovať a kódovať, výstup nikdy bez kontroly nespúšťať ako kód alebo dopyt. |
LLM06 Excessive Agency | LLM dostávajú nekontrolovanú moc konať pri nedostatočnom obmedzení oprávnení alebo nedostatočnom ľudskom dohľade. V roku 2025 rozšírené pre agentické architektúry. | Princíp minimálnych oprávnení pre každý nástroj, explicitné rozsahy oprávnení, human-in-the-loop pri kritických akciách. |
LLM07 System Prompt Leakage | Obsah system promptu, ktorý sa považoval za súkromný, sa cez probing odhalí. | Neukladať do system promptu žiadne tajomstvá; nestavať bezpečnosť na dôvernosti promptu. |
LLM08 Vector and Embedding Weaknesses | Špecifické pre RAG: podstrčenie škodlivých dát do vektorových úložísk, embedding poisoning, úniky embeddingov medzi tenantmi. Nové v roku 2025. | Riadenie prístupu k vektorovým úložiskám, izolácia tenantov, validácia obsahu pred embeddingom. |
LLM09 Misinformation | Sebaisto formulovaný nepravdivý obsah z halucinácií alebo zo skreslených trénovacích dát. | Ukotvenie v dôveryhodných zdrojoch, overovanie faktov, označovanie neistoty. |
LLM10 Unbounded Consumption | Vyčerpanie zdrojov a rozpočtu (Denial-of-Wallet). V roku 2025 rozšírené z položky DoS z roku 2023. | Pevné limity nákladov s circuit breakermi, rate limity na používateľa/tenanta/agenta, detekcia anomálií v spotrebe tokenov. |
Tri položky sú v roku 2025 nové alebo výrazne zmenené
Oproti predchádzajúcemu zoznamu OWASP edíciu 2025 citeľne prispôsobil aktuálnym architektúram. Tri body si zaslúžia osobitnú pozornosť:
- LLM07 System Prompt Leakage pribudlo ako samostatná položka, pretože reálne exploity ukázali, že údajne súkromné system prompty sa dajú cieleným probingom extrahovať. Ponaučenie: system prompt nie je trezor. Tajomstvá, prístupové údaje ani bezpečnostná logika doň nepatria.
- LLM08 Vector and Embedding Weaknesses je nové a reaguje na boom RAG. Škodlivé dáta vo vektorových úložiskách, embedding poisoning a úniky embeddingov medzi tenantmi sú reálnym rizikom, len čo viacerí zákazníci zdieľajú ten istý vektorový index.
- LLM10 Unbounded Consumption rozširuje pôvodný bod Denial-of-Service o nákladový rozmer (Denial-of-Wallet). Pri agentoch je toto zosilnenie obzvlášť kritické, pretože viacstupňové plány znásobujú spotrebu tokenov.
Vzťah k AI agentom: LLM06 ako most
Pre agentúry a B2B rozhodovateľov je najdôležitejší koncepčný poznatok tento: LLM Top 10 vznikol pre systémy, ktoré v jadre odpovedajú. Prompt príde dnu, completion ide von, prípadne ukotvený cez RAG. Agentické systémy naproti tomu plánujú, uvažujú, vyberajú nástroje, zapisujú do pamäte a konajú s minimálnym ľudským schvaľovaním jednotlivých krokov.
OWASP to formuluje takto (voľne podľa Sotiropoulosa et al., 9. decembra 2025): agentické systémy dedia všetky riziká LLM a prinášajú úplne nové triedy zraniteľností z autonómie, integrácie nástrojov, koordinácie viacerých agentov a perzistentného stavu. Mostom medzi oboma svetmi je LLM06 Excessive Agency, ktoré bolo v roku 2025 výslovne rozšírené pre agentické architektúry a priamo predchádza viacerým rizikám agentov (ASI02, ASI03, ASI10).
Open-source framework DeepTeam na red teaming, ktorý pokrýva oba zoznamy, opisuje efekt zosilnenia výstižne: ASI01 (Agent Goal Hijack) zodpovedá LLM01 (Prompt Injection) krát LLM06 (Excessive Agency), ale s viacstupňovým vykonávaním, ktoré zväčšuje škodu nad rámec jednej odpovede. Tri agentické riziká (ASI07 Insecure Inter-Agent Communication, ASI08 Cascading Failures, ASI10 Rogue Agents) nemajú v LLM Top 10 vôbec žiadny ekvivalent. Kto teda číta iba LLM Top 10, systematicky podceňuje riziko agentov.
Konkrétny príklad: EchoLeak (CVE-2025-32711)
Ako ďaleko siaha Prompt Injection v produkčných systémoch, ukazuje EchoLeak, prvý reálne zdokumentovaný zero-click prípad v produkčnom LLM systéme. V júni 2025 spoločnosť Aim Labs odhalila túto zraniteľnosť v Microsoft 365 Copilot (CVE-2025-32711, CVSS 9,3, zdokumentované v arXiv 2509.10540, Reddy et al., september 2025).
Priebeh v pseudokrokoch:
- Útočník pošle obeti jediný špeciálne upravený e-mail.
- Skryté inštrukcie obídu klasifikátor XPIA od Microsoftu (Cross-Prompt Injection Attempt).
- Odstraňovanie externých odkazov sa obíde cez reference-style Markdown.
- Automaticky načítané obrázky + Microsoft Teams proxy povolený cez CSP exfiltrujú najcitlivejší obsah z kontextu Copilota.
- Nie je potrebné ani jedno kliknutie používateľa (zero-click).
Spoločnosť Aim Labs na to zaviedla pojem LLM Scope Violation. Microsoft chybu opravil na strane servera bez zásahu zákazníkov. Hlavné ponaučenie pre rizikové výbory v regióne DACH: obídený bol aj zavedený klasifikátor poskytovateľa (XPIA). V sesterskom prípade CamoLeak (GitHub Copilot Chat, CVSS 9,6, zverejnený v októbri 2025 Omerom Mayrazom/Legit Security po hlásení cez HackerOne v júni 2025) bola ochrana CSP obídená cez Camo, vlastný obrázkový proxy GitHubu, aby sa znak po znaku vytiahli tajomstvá zo súkromných repozitárov; GitHub následne 14. augusta 2025 úplne vypol renderovanie obrázkov v Copilot Chat.
Guardrails teda nie sú všeliek. Každý doteraz zverejnený mantinel kompetentní výskumníci obišli v priebehu niekoľkých mesiacov po vydaní. Účinná ochrana si vyžaduje viacvrstvovú obranu: vstupný filter plus scope/provenance enforcement plus výstupný filter plus monitorovanie správania. Vyhlásenia poskytovateľov typu „Náš mantinel blokuje 99,x percenta útokov typu prompt injection“ treba brať ako marketing, kým ich neoverí nezávislý red team.
Detekcia a obrana v praxi
Defense-in-depth pre LLM aplikácie konkrétne znamená:
- Na strane vstupu: Externý obsah (dokumenty, e-maily, RAG korpus, webové stránky, výstupy nástrojov) zásadne považovať za nedôveryhodný. Oddeliť kanál inštrukcií od dátového kanála. Nasadiť vstupné filtre ako Llama Guard, Microsoft Prompt Shield, NVIDIA NeMo Guardrails alebo Lakera Guard (stav 2026).
- Za behu: Riadenie prístupu podľa pôvodu obsahu, aby obsah označený ako externý nemohol spustiť privilegovaný prístup k dátam. Obmedziť renderovanie Markdownu, zakázať automatické načítavanie obrázkov.
- Na strane výstupu: Výstup kontrolovať oproti očakávaným vzorom a nikdy ho bez kontroly nespúšťať ako kód, databázový dopyt alebo HTML v nadväzujúcich systémoch (LLM05).
- Prevádzka: Priebežný red teaming s nástrojmi Garak, PyRIT alebo DeepTeam. Pevné limity nákladov a rate limity proti Unbounded Consumption. Úplné forenzné logovanie.
K poctivému zhodnoteniu patrí aj toto: mantinely pridávajú latenciu (v produkčnej prevádzke typicky 100 až 500 milisekúnd na pravidlo) a náklady (každé pravidlo je ďalšie volanie inferencie). Vo viacjazyčnom prostredí DACH (zmes DE/FR/IT/EN) zostáva miera falošne pozitívnych výsledkov vysoká.
Pre agentúry a B2B
Marketingové agentúry a stredné podniky v regióne DACH čoraz častejšie nasadzujú do produkcie copiloty postavené na LLM, RAG asistentov a prvých agentov, často ako zakúpenú SaaS funkciu v Microsoft 365 Copilot, ChatGPT Enterprise, Claude for Work alebo Gemini for Workspace (stav 2026). Práve tu tvoria realistickú útočnú plochu LLM01 (nepriama injekcia promptu cez obsah), LLM02 (prezradenie dát v zhrnutiach) a LLM06 (príliš široké oprávnenia nástrojov).
Tri upozornenia pre obstarávanie a governance: po prvé, „v súlade s OWASP“ nie je spoľahlivé tvrdenie, pretože OWASP publikuje usmernenia, nie certifikácie. Po druhé, každý relevantný mantinel poskytovateľa by mal bežať na najprísnejšom stupni a logy poskytovateľa patria do SIEM. Po tretie: kto plánuje agentov, musí okrem LLM Top 10 prečítať aj OWASP Agentic Top 10, inak zostane model rizík neúplný. Blck Alpaca z Viedne pomáha pri zaraďovaní týchto rizík do kontextu EU AI Act, GDPR a ISO 42001 a pri výbere vhodných ochranných vrstiev. OWASP svoje zoznamy reviduje v nepravidelných intervaloch; genai.owasp.org patrí ako záložka do každého procesu riadenia rizík.
Otvorí chat s pripraveným promptom.
Často kladené otázky
Čo je OWASP LLM Top 10 (2025)?
Čím sa líši OWASP LLM Top 10 od OWASP Agentic Top 10?
Aký je rozdiel medzi LLM01 Prompt Injection a jailbreakom?
Stačí OWASP LLM Top 10 na úplné zabezpečenie LLM aplikácie?
Čo znamená LLM10 Unbounded Consumption?
Ísť hlbšie?
Získajte nové analýzy priamo do schránky, alebo sa pozrite, ako tieto poznatky nasadzujeme pre firmy.