OWASP LLM Top 10 2026: Was sich geändert hat und warum es wichtig ist

Jeder Platform Lead, der ein LLM-Feature in die Produktion gebracht hat, kennt die unbequeme Wahrheit: Das Bedrohungsmodell wurde erst nach dem ersten Vorfall erstellt, nicht davor. OWASP hat Engineering-Teams jetzt einen Ausweg aus diesem Muster gegeben. Die Top 10 für LLM Applications 2026 erscheint mit einem echten Datensatz im Rücken – nicht nur einem gefühlsbasierten Ranking dessen, worüber Twitter diesen Monat diskutiert.

Diese Verschiebung ist bedeutsam, weil die meisten KI-Sicherheitsframeworks bisher aspirationaler Natur waren. Dieses liest sich, als wäre es von Menschen geschrieben worden, die um 3 Uhr morgens auf Bereitschaft waren, als ein Agent beschlossen hat, eine API aufzurufen, die er nicht hätte aufrufen sollen.

Was passiert ist

Am 6. August 2026 veröffentlichte OWASP offiziell die Top 10 für LLM Applications 2026, wie CyberSecurityNews berichtete. Die Projektleiter Steve Wilson und Rock Lambros steuerten die Veröffentlichung nach einer Design-Philosophie, die jedem vertraut sein wird, der Defense-in-Depth für einen Zahlungsstack implementiert hat: Gehe davon aus, dass das Modell getäuscht wird, und härte alles darum herum ab.

Das empirische Fundament ist der interessante Teil. Das Team zog 7.714 reale KI-bezogene Sicherheitsvorfälle aus öffentlichen Schwachstellendatenbanken und KI-Schadensrepositorys. Von diesen hatten 6.639 genug Detail zur Klassifizierung. Das Community-Praktiker-Voting wurde mit etwa 75 % gewichtet, die Vorfallsdaten mit 25 %. Diese Aufteilung ist eine bewusste Vermittlung zwischen dem, was Praktiker befürchten, und dem, was in der Produktion tatsächlich kaputtgegangen ist.

Prompt Injection hält LLM01. Keine Überraschung. Was sich verschoben hat, ist aufschlussreich. Excessive Agency sitzt jetzt bei LLM03. Unbounded Consumption ist um vier Positionen gestiegen. Improper Output Handling ist bis auf LLM10 gefallen – nicht weil das Problem gelöst ist, sondern weil eingabeseitige Angriffe und Cross-Pipeline-Offenlegungen die Vorfallsprotokolle jetzt dominieren. Die früher als System Prompt Leakage bekannte Kategorie wurde zu Hidden Context Exposure erweitert, die jetzt RAG-Schemata, versteckte Richtlinienlogik und jeden nicht-benutzersichtbaren Kontext abdeckt, den ein Angreifer exfiltrieren kann. Misinformation ist ebenfalls gestiegen, getrieben durch Vorfälle, bei denen selbstbewusst falsche Ausgaben automatisierte Geschäftsworkflows oder unbefugte API-Aufrufe auslösten.

Anhang A ist das unterschätzte Feature. Jedes Risiko wird in OWASPs Top 10 für Agentic Applications (ASI) und GenAI Data Security 2026 (DSGAI), MITRE ATLAS, ATT&CK und CWE sowie NIST AI 600-1, NIST AI RMF und die CSA AI Controls Matrix eingeordnet. Das macht das Dokument zu einem Brückenhandbuch für Teams, die bereits eine GRC-Infrastruktur haben.

Technische Anatomie

Die wichtigste strukturelle Änderung in der Version 2026 ist die Unterscheidung zwischen einem „LLM als Komponente" und einem „LLM als Akteur". Diese Rahmung leistet viel. Wenn einem Modell Tools, persistenter Speicher und Ausführungsrechte gewährt werden, weist OWASP Teams an, die LLM Top 10 zusammen mit der Agentic Applications Top 10 einzusetzen. Mit anderen Worten: In dem Moment, in dem Ihr Modell eine Funktion aufrufen kann, betreiben Sie zwei Bedrohungsmodelle, nicht eines.

Das ist die richtige Entscheidung. Produktionsvorfälle, die ich in agentenintensiven Stacks gesehen habe, gehen fast nie darauf zurück, dass das Modell etwas Schlechtes sagt. Sie entstehen dadurch, dass das Modell etwas Plausibles sagt, das dann von einem Tool mit zu vielen Berechtigungen ausgeführt wird. Excessive Agency, das auf LLM03 klettert, ist die direkte Anerkennung dieses Musters. Wenn eine Agentenausgabe autonom Shell-Befehle ausführen, externe APIs aufrufen oder Datenbankzeilen mutieren kann, hört die Angriffsfläche auf, sprachlicher Natur zu sein, und wird operativ.

Der Aufstieg von Unbounded Consumption um vier Plätze spiegelt eine Fehlerkategorie wider, die die meisten Teams zu wenig modellieren: finanzielles Denial-of-Service. Extended-Thinking-Modelle, multimodale Inferenz und gemeinsam genutzte GPU-Cluster schaffen alle Kostenverstärkungspfade, bei denen eine einzige bösartige Prompt-Schleife ein monatliches Inferenzbudget in Stunden verbrennen kann. Teams, mit denen ich im Fintech-Bereich gearbeitet habe, mussten benutzerdefinierte Circuit Breaker schreiben, weil die Dashboards der Upstream-Anbieter zu langsam aktualisierten, um unkontrollierte Ausgaben zu erkennen.

Hidden Context Exposure ist die klügste Umbenennung im Dokument. System Prompt Leakage war zu eng gefasst. In modernen RAG-Architekturen ist der sensible Kontext nicht nur der System-Prompt. Es ist das Retrieval-Schema, die Tool-Beschreibungen, die Routing-Regeln und jede Richtlinienlogik, die in der Orchestrierungsschicht eingebettet ist. Sobald ein Angreifer die Form Ihres Retrieval-Index oder Ihres Tool-Manifests kennt, wird Prompt Injection gezielt statt explorativ.

Meine Einschätzung: Das Umstrukturieren liest sich weniger wie eine neue Taxonomie und mehr wie ein Delta-Report aus der Produktion. Improper Output Handling ist nicht weniger gefährlich geworden. Alles andere ist nur häufiger geworden.

Wer betroffen ist

Die Teams, die durch diese Veröffentlichung am stärksten exponiert sind, sind jene, die agentische Piloten betreiben, ohne ihren Sicherheitsüberprüfungsprozess entsprechend zu aktualisieren. Wenn Ihr Architekturdiagramm ein LLM mit Tool-Zugriff, Speicher und irgendeinem Schreibpfad in ein Produktionssystem zeigt und Ihr letztes Bedrohungsmodell vor dem Aufkommen von Agent-Frameworks erstellt wurde, sind Sie die Zielgruppe.

iGaming-Plattformen, die KI-gestützte Kundensupport- und Responsible-Gambling-Monitore integrieren, befinden sich direkt in der Excessive-Agency-Risikozone. Jeder Agent, der den Kontostatus anpassen, Rückerstattungen auslösen oder Spielerhistorien abfragen kann, ist eine Prompt Injection von einem regulatorischen Gespräch entfernt. Der Anstieg von Misinformation ist hier ebenfalls relevant: Eine selbstbewusst falsche Ausgabe eines Support-Agenten über Auszahlungslimits oder Bonusbedingungen schafft echte Haftung.

Fintech-Teams, die LLMs für Transaktionskategorisierung, Betrugstriage oder KYC-Support einsetzen, stehen direkt vor dem Unbounded-Consumption-Problem. Gegnerische Nutzer haben jeden Anreiz, Kostengrenzen auszuloten. Ein gemeinsam genutzter Inferenz-Cluster, der mehrere Mandanten ohne mandantenspezifische Rate-Limits bedient, ist eine Rechnung, die noch kommen wird. Bei einem 10-köpfigen Team kann ein einziges Wochenende mit unkontrollierter Inferenzausgabe ein Viertel des Infrastrukturbudgets auffressen – das entspricht ungefähr zwei Ingenieuren an Runway.

DeFi- und Krypto-Betreiber, die mit agentenbasierten Portfolio-Tools oder On-Chain-Automatisierung experimentieren, sollten die „LLM als Akteur"-Rahmung zweimal lesen. Wenn der Akteur Signierungsrechte hat, hört Excessive Agency auf, eine Kategorie zu sein, und wird zum gesamten Bedrohungsmodell. Die unbequeme Erkenntnis: Die meisten Agent-Frameworks, die derzeit ausgeliefert werden, erzwingen standardmäßig kein Least-Privilege, und die Last liegt beim Integrator.

Ad-Tech- und Enterprise-Infrastructure-Teams, die LLM-gestützte Analysen gegen interne Data Lakes betreiben, sind die Hidden-Context-Exposure-Gruppe. RAG-Pipelines, die mit sensiblen Schemata ohne Autorisierungsprüfungen zum Zeitpunkt des Retrievals verbunden sind, werden noch vor Jahresende in einem Incident-Report auftauchen.

Playbook für die KI-Entwicklung

Behandeln Sie die 2026 Top 10 als operative Checkliste, nicht als Whitepaper. Konkrete Maßnahmen für die nächsten zwei Wochen:

Erstens: Erzwingen Sie Least Agency auf der Tool-Ebene. Jede Funktion, die Ihr Agent aufrufen kann, benötigt einen expliziten Berechtigungsumfang und bei allem Nicht-Rückgängigmachbaren eine Genehmigung durch einen Menschen im Loop. Wenn Sie auf Anthropics Tool Use oder OpenAIs Function Calling aufbauen, wickeln Sie jedes gefährliche Tool in eine Autorisierungs-Middleware. Verlassen Sie sich nicht darauf, dass das Modell sich selbst einschränkt.

Zweitens: Autorisieren Sie vor dem Retrieval. RAG-Pipelines, die zuerst einbetten und suchen und dann Ergebnisse filtern, geben Informationen durch Timing und Ranking preis. Führen Sie die Zugriffskontrollprüfung der Benutzeridentität durch, bevor die Vektorabfrage läuft, nicht danach.

Drittens: Setzen Sie harte Budget-Circuit-Breaker auf die Inferenz. Pro Nutzer, pro Session, pro Mandant. Extended-Thinking-Modi und multimodale Aufrufe haben völlig andere Kostenprofile als Standard-Completions. Instrumentieren Sie sie separat. Alertieren Sie bei Kostenanomalien genauso wie bei Latenzanomalien.

Viertens: Behandeln Sie jede Modellausgabe als nicht vertrauenswürdige Eingabe für die nächste Stufe. Generiertes SQL wird parametrisiert. Generiertes HTML wird bereinigt. Generierter Code wird in einer Sandbox ausgeführt. Das ist der langweilige Teil – und es ist der Teil, der Sie aus dem Incident-Postmortem heraushält.

Fünftens: Überprüfen Sie Ihre Supply Chain. Drittanbieter-Modellgewichte, Fine-Tuning-Datensätze und Open-Source-Agent-Tooling tragen alle Serialisierungs- und Data-Poisoning-Risiken. Wenn Sie Modelle aus öffentlichen Hubs beziehen, verifizieren Sie Checksums und Provenienz und pinnen Sie Versionen.

Wichtigste Erkenntnisse

• OWASPs 2026 Top 10 basiert auf 7.714 realen Vorfällen, wobei Community-Voting mit 75 % und Vorfallsdaten mit 25 % gewichtet werden – damit ist es der bislang am stärksten evidenzbasierte LLM-Sicherheitsleitfaden.
• Prompt Injection bleibt bei LLM01, aber Excessive Agency (LLM03) und Unbounded Consumption (vier Positionen gestiegen) sind die Kategorien, in die Produktionsteams am wenigsten investieren.
• Die Unterscheidung „LLM als Komponente" versus „LLM als Akteur" ist das mentale Modell, das übernommen werden sollte. Jeder Agent mit Tools, Speicher und Ausführungsrechten benötigt die Agentic Applications Top 10 als Ergänzung.
• Hidden Context Exposure deckt jetzt RAG-Schemata und Richtlinienlogik ab, nicht nur System-Prompts. Autorisieren Sie immer vor dem Retrieval.
• Anhang A ordnet jedes Risiko in MITRE ATLAS, ATT&CK, CWE, NIST AI 600-1, NIST AI RMF und die CSA AI Controls Matrix ein, damit GRC-Teams integrieren können, ohne neue Kontrollen erfinden zu müssen.