OWASP Top 10 para Agentic Applications

En ASI01: Agent Goal Hijack, los atacantes manipulan los objetivos, la selección de tareas o las rutas de decisión de un agente — por ejemplo mediante Prompt Injection indirecta en páginas web, documentos o correos electrónicos —, porque los modelos no pueden distinguir de forma fiable entre instrucciones y contenidos. ASI06: Memory & Context Poisoning describe, en cambio, la falsificación persistente de la ventana de contexto y de la memoria a largo plazo, que influye en las decisiones incluso después de finalizar la sesión original y puede propagarse entre agentes que cooperan.

ASI02: Tool Misuse and Exploitation abarca el uso indebido de herramientas legítimas dentro de los permisos autorizados — por ejemplo, la fuga de datos mediante el encadenamiento de herramientas internas y externas, APIs con privilegios excesivos o descripciones de herramientas envenenadas (Tool Poisoning). Si la manipulación conduce a una ejecución de código inesperada o inyectada, se aplica ASI05: Unexpected Code Execution (RCE) — por ejemplo, cuando un agente ejecuta comandos de shell ocultos en las entradas o lanza sin verificación código generado por él mismo.

ASI03: Identity and Privilege Abuse comprende los permisos heredados en la delegación, las credenciales almacenadas en caché y los ataques de Confused Deputy, en los que un agente comprometido hace actuar en su nombre a un agente con mayores privilegios. ASI04: Agentic Supply Chain Vulnerabilities aborda la cadena de suministro de los sistemas agénticos — desde servidores MCP y de registry comprometidos, pasando por descriptores de herramientas manipulados, hasta agentes de terceros vulnerables.

ASI07: Insecure Inter-Agent Communication trata la comunicación entre agentes no cifrada o no autenticada, que hace posibles la manipulación, el replay y el spoofing; ASI08: Cascading Failures describe cómo fallos individuales se amplifican en todo el sistema a través de agentes acoplados. ASI09: Human-Agent Trust Exploitation explota la confianza de las personas en los agentes — por ejemplo mediante justificaciones fabricadas —, mientras que ASI10: Rogue Agents abarca agentes que se desvían de forma permanente de su comportamiento previsto sin control activo por parte de un atacante.

La publicación amplía Least Privilege y el concepto de riesgo LLM Excessive Agency con el principio de Least Agency: la autonomía innecesaria aumenta la superficie de ataque sin aportar valor añadido y debe evitarse de forma consecuente. De forma complementaria, OWASP recomienda aprobaciones Human-in-the-Loop para las acciones críticas, así como pruebas regulares de Red Team que simulen, entre otros, escenarios de Goal Override.

Sin visibilidad sobre lo que hacen los agentes, por qué lo hacen y qué herramientas invocan, las desviaciones pasan inadvertidas — por ello, OWASP califica una observabilidad sólida como no negociable y exige registros de auditoría inmutables y firmados de todas las acciones de los agentes, las llamadas a herramientas y la comunicación entre agentes. Para un enfoque sistemático, el Agentic AI Threat Navigator (preguntas guía para la identificación de amenazas) y la Securing Agentic Applications Guide (protección a lo largo del diseño, la construcción, el despliegue y la operación) constituyen los documentos complementarios adecuados.