OWASP Agentic Top 10 落地清单：
从风险到控制

OWASP 在 2025 年 12 月发布了首个面向自治 AI Agent 的安全基线。多数解读停在罗列十个风险——本文把 ASI01-ASI10 变成一份可执行清单：每项风险对应什么控制措施、审计时看什么证据。

框架是什么，不是什么

《OWASP Top 10 for Agentic Applications 2026》由 100 多位行业专家、研究者和从业者编制，经 NIST、微软 AI 红队、AWS 等机构同行评审。它收录的是 Agent 特有的风险——OWASP 把 Agent 定义为『能够跨多步骤和工具进行规划、决策和行动的自治 AI 系统』。

应用时有两条边界要先说清。第一，它不取代面向 LLM 应用的 OWASP Top 10——提示注入和不安全输出处理对 Agent 读到的一切内容依然适用。第二，它是风险词汇表，不是认证：它告诉你该问哪些问题，不告诉你该买哪个产品，也不替你判断部署是否合格。

清单：ASI01-ASI10 对应的控制与证据

每项风险三个字段：风险是什么、对应什么控制、审计者（或采购方）能实际查验什么证据。

最常被忽略的三项

在我们评审的生产部署中，三项最常失守——而且三项都是被真实事件推到公众面前的：

ASI04 供应链。技能包、插件、MCP 服务器未经签名和审查就装进生产环境。2026 年 2 月的 ClawHavoc 事件展示了被污染的 Agent 组件如何规模化传播；GitSpawn 系列披露则说明，连『以文件形式到达的仓库』里的 git 配置都能在编码 Agent 中执行代码。把每个技能包当代码依赖对待：签名、锁定、审查。

ASI06 记忆与上下文投毒。持久记忆因为『是 Agent 自己写的』就被信任。但一个被操纵一次的 Agent 能写入长期的操纵——Gemini 记忆攻击演示了这个模式，治理衰减研究则说明上下文压缩会在多轮会话中悄悄抹掉安全规则。记忆需要来源和定期审计，和其他数据存储一样。

ASI08 级联失效。链式 Agent 会放大彼此的错误。HuggingFace 数据泄露中记录的多 Agent 合谋展示了单个被攻陷的参与者如何带偏整条工作流。熔断器和爆炸半径上限是管道工程，不是锦上添花——而几乎没有人为此做过演练。

怎么跑这次评估

对每个已部署 Agent 按十项打 0-2 分：0 = 控制缺失，1 = 部分具备，2 = 控制到位且有可审计证据。结果是每个 Agent 一份 20 分画像，可跨团队、跨厂商比较。两条规则让它可运营：ASI03、ASI04、ASI06 任何一项得零分，整改完成前阻止生产部署；以及，算数的是证据，不是自评。

同一份画像也适用于采购。把厂商的答复映射到 ASI01-ASI10，逐项索要证据——框架把『相信我们』变成十个具体问题。

下一步做什么

如果你的生产环境在跑 Agent，从身份清单（ASI03）和技能包清单（ASI04）开始——两者一周内可完成，且恰好关上当前真实攻击正在用的两扇门。如果你在采购，把十个问题在演示之前发给厂商。

来源：OWASP GenAI 安全项目《OWASP Top 10 for Agentic Applications 2026》（2025 年 12 月，genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026，curl HTTP 200）及项目 2025 年 12 月 9 日发布公告；微软安全博客（2026 年 3 月）关于 Top 10 与 Copilot Studio 控制项的映射。OOMeta 相关报道：GitSpawn 编码 Agent RCE、llms.txt 依赖混淆、HuggingFace 数据泄露中的多 Agent 合谋、上下文压缩下的治理衰减。