OWASP Top 10 für Agentic Applications

Bei ASI01: Agent Goal Hijack manipulieren Angreifer Ziele, Aufgabenauswahl oder Entscheidungswege eines Agenten – etwa über indirekte Prompt-Injection in Webseiten, Dokumenten oder E-Mails –, weil Modelle Anweisungen nicht zuverlässig von Inhalten unterscheiden können. ASI06: Memory & Context Poisoning beschreibt dagegen die persistente Verfälschung von Kontextfenster und Langzeitgedächtnis, die Entscheidungen auch nach Ende der ursprünglichen Sitzung beeinflusst und sich über kooperierende Agenten ausbreiten kann.

ASI02: Tool Misuse and Exploitation erfasst den Missbrauch legitimer Werkzeuge innerhalb autorisierter Rechte – etwa Datenabfluss durch die Verkettung interner und externer Tools, überprivilegierte APIs oder vergiftete Tool-Beschreibungen (Tool Poisoning). Führt die Manipulation zu unerwarteter oder eingeschleuster Codeausführung, greift ASI05: Unexpected Code Execution (RCE) – zum Beispiel, wenn ein Agent in Eingaben versteckte Shell-Kommandos ausführt oder ungeprüft selbst generierten Code startet.

ASI03: Identity and Privilege Abuse umfasst vererbte Berechtigungen bei Delegation, zwischengespeicherte Zugangsdaten und Confused-Deputy-Angriffe, bei denen ein kompromittierter Agent einen höher privilegierten Agenten für sich handeln lässt. ASI04: Agentic Supply Chain Vulnerabilities adressiert die Lieferkette agentischer Systeme – von kompromittierten MCP- und Registry-Servern über manipulierte Tool-Deskriptoren bis zu verwundbaren Drittanbieter-Agenten.

ASI07: Insecure Inter-Agent Communication behandelt unverschlüsselte oder nicht authentisierte Agent-zu-Agent-Kommunikation, die Manipulation, Replay und Spoofing ermöglicht; ASI08: Cascading Failures beschreibt, wie sich einzelne Fehler über gekoppelte Agenten systemweit verstärken. ASI09: Human-Agent Trust Exploitation nutzt das Vertrauen von Menschen in Agenten aus – etwa durch fabrizierte Begründungen –, während ASI10: Rogue Agents Agenten erfasst, die ohne aktive Angreifersteuerung dauerhaft von ihrem vorgesehenen Verhalten abweichen.

Die Publikation erweitert Least-Privilege und den LLM-Risikobegriff Excessive Agency um das Prinzip Least-Agency: Unnötige Autonomie vergrößert die Angriffsfläche, ohne Mehrwert zu schaffen, und sollte konsequent vermieden werden. Ergänzend empfiehlt OWASP Human-in-the-Loop-Freigaben für kritische Aktionen sowie regelmäßige Red-Team-Tests, die unter anderem Goal-Override-Szenarien simulieren.

Ohne Sichtbarkeit, was Agenten tun, warum sie es tun und welche Tools sie aufrufen, bleiben Abweichungen unentdeckt – OWASP bezeichnet starke Observability daher als nicht verhandelbar und fordert unveränderliche, signierte Audit-Logs aller Agentenaktionen, Tool-Aufrufe und Agentenkommunikation. Für das systematische Vorgehen liefern der Agentic AI Threat Navigator (Leitfragen zur Bedrohungsidentifikation) und der Securing Agentic Applications Guide (Absicherung über Design, Build, Deployment und Betrieb) die passenden Begleitdokumente.