OWASP LLM Top 10 2026: Що змінилось і чому це важливо

Будь-який технічний лідер, який виводив LLM-функціональність у продакшн, знає незручну правду: модель загроз писалась після першого інциденту, а не до нього. OWASP щойно дав інженерним командам спосіб вийти з цього замкненого кола. Top 10 for LLM Applications 2026 вийшов із реальним датасетом позаду, а не просто рейтингом на основі того, що зараз обговорюють у Twitter.

Ця зміна важлива, бо більшість фреймворків AI-безпеки досі були декларативними. Цей читається так, ніби його писали люди, яких будили о 3-й ночі, коли агент вирішував викликати API, якому не варто було довіряти.

Що сталося

6 серпня 2026 року OWASP офіційно опублікував Top 10 for LLM Applications 2026, як повідомляв CyberSecurityNews. Керівники проєкту Стів Вілсон і Рок Ламброс формували реліз навколо принципу, знайомого кожному, хто будував ешелонований захист для платіжних систем: вважайте, що модель буде обдурена, і зміцнюйте все навколо неї.

Найцікавіша частина — емпірична база. Команда зібрала 7 714 реальних інцидентів безпеки, пов'язаних із AI, із публічних баз вразливостей та репозиторіїв AI-шкоди. З них 6 639 мали достатньо деталей для класифікації. Голосування практиків із ком'юніті мало вагу близько 75%, дані про інциденти — 25%. Такий розподіл — це свідомий компроміс між тим, чого бояться практики, і тим, що реально ламається у продакшні.

Prompt Injection утримує LLM01. Без сюрпризів. Але переміщення інших категорій є показовими. Excessive Agency тепер на LLM03. Unbounded Consumption підскочив на чотири позиції. Improper Output Handling впав аж до LLM10 — не тому, що проблема вирішена, а тому, що атаки на вхідні дані та витоки між пайплайнами тепер домінують в журналах інцидентів. Категорію, раніше відому як System Prompt Leakage, розширили до Hidden Context Exposure, яка тепер охоплює RAG-схеми, приховану логіку політик та будь-який контекст, невидимий користувачу, але доступний для ексфільтрації зловмисником. Misinformation також піднявся вгору — через інциденти, де впевнено хибні відповіді запускали автоматизовані бізнес-процеси або несанкціоновані виклики API.

Додаток A — це прихована перлина документа. Кожен ризик зіставлений із OWASP Top 10 for Agentic Applications (ASI) та GenAI Data Security 2026 (DSGAI), MITRE ATLAS, ATT&CK і CWE, а також NIST AI 600-1, NIST AI RMF та CSA AI Controls Matrix. Це перетворює документ на посібник-міст для команд, які вже мають GRC-інфраструктуру.

Технічна анатомія

Найважливіша структурна зміна у релізі 2026 року — розмежування між «LLM як компонент» і «LLM як актор». Це формулювання несе значне навантаження. Коли модель отримує інструменти, постійну пам'ять і права на виконання дій, OWASP наказує командам застосовувати LLM Top 10 разом із Agentic Applications Top 10. Інакше кажучи, щойно ваша модель може викликати функцію — ви керуєте двома моделями загроз, а не однією.

Це правильне рішення. Виробничі інциденти в агентних стеках майже ніколи не виникають через те, що модель щось погане каже. Вони виникають через те, що модель каже щось правдоподібне, а потім це виконує інструмент із надмірними правами доступу. Підйом Excessive Agency до LLM03 — пряме визнання цього патерну. Коли вивід агента може автономно виконувати shell-команди, звертатись до зовнішніх API або змінювати рядки в базі даних, поверхня атаки перестає бути лінгвістичною і стає операційною.

Підйом Unbounded Consumption на чотири позиції відображає клас збоїв, який більшість команд недооцінює: фінансова відмова в обслуговуванні. Моделі з розширеним мисленням, мультимодальний інференс і спільні GPU-кластери створюють шляхи для підсилення витрат, де один зловмисний цикл запитів може спалити місячний бюджет на інференс за кілька годин. Команди, з якими я працював у фінтеху, змушені були писати власні circuit breakers, бо дашборди провайдерів оновлювались надто повільно, щоб вчасно виявляти стрімкі витрати.

Hidden Context Exposure — найрозумніше перейменування в документі. System Prompt Leakage було занадто вузьким. У сучасних RAG-архітектурах чутливий контекст — це не лише системний промпт. Це схема пошуку, описи інструментів, правила маршрутизації та будь-яка логіка політик, вбудована в оркестраційний шар. Щойно зловмисник дізнається структуру вашого індексу для пошуку або маніфесту інструментів — prompt injection стає цілеспрямованим, а не дослідницьким.

Моя думка: перестановки рейтингу читаються не як нова таксономія, а як звіт про зміни на основі продакшн-даних. Improper Output Handling не стало менш небезпечним. Просто все інше почало траплятись частіше.

Хто під загрозою

Найбільш вразливі від цього релізу — команди, що запускають агентні пілоти без відповідного оновлення процесу перевірки безпеки. Якщо на вашій архітектурній діаграмі LLM має доступ до інструментів, пам'ять і будь-який шлях запису в продакшн-систему, а остання модель загроз була написана до появи агентних фреймворків — ви цільова аудиторія цього документа.

Платформи iGaming, що інтегрують AI-підтримку клієнтів та монітори відповідальної гри, опиняються прямо в зоні ризику Excessive Agency. Будь-який агент, який може змінювати статус акаунту, ініціювати повернення коштів або запитувати історію гравця, знаходиться на відстані одного prompt injection від регуляторної розмови. Підйом Misinformation також важливий тут: впевнено хибна відповідь агента підтримки щодо лімітів виводу або умов бонусів створює реальну правову відповідальність.

Фінтех-команди, що використовують LLM для категоризації транзакцій, сортування шахрайства або підтримки KYC, стикаються з проблемою Unbounded Consumption безпосередньо. Зловмисні користувачі мають усі стимули досліджувати межі витрат. Спільний кластер інференсу, що обслуговує кількох орендарів без обмеження швидкості на орендаря, — це рахунок, що чекає свого часу. Для команди з 10 людей один вихідний з неконтрольованими витратами на інференс може з'їсти чверть бюджету на інфраструктуру — що приблизно дорівнює запасу ресурсів для двох інженерів.

DeFi та крипто-оператори, що експериментують з агентними інструментами для портфеля або on-chain автоматизацією, мають двічі перечитати формулювання «LLM як актор». Коли актор має права підписання, Excessive Agency перестає бути категорією і стає всією моделлю загроз. Незручний висновок: більшість агентних фреймворків, що виходять зараз, не застосовують принцип мінімальних привілеїв за замовчуванням, і тягар відповідальності лягає на інтегратора.

Ad-tech та команди корпоративної інфраструктури, що запускають LLM-аналітику на внутрішніх озерах даних, є цільовою аудиторією Hidden Context Exposure. RAG-пайплайни, підключені до чутливих схем без перевірки авторизації під час пошуку, з'являться в чиємусь звіті про інцидент до кінця року.

План дій для розробки AI

Сприймайте Top 10 2026 як операційний чеклист, а не як технічну документацію. Конкретні кроки на найближчі два тижні:

По-перше, застосовуйте принцип мінімальних привілеїв на рівні інструментів. Кожна функція, яку може викликати ваш агент, потребує явно визначеного дозволу, а для будь-якої незворотної дії — підтвердження від людини. Якщо ви будуєте на Anthropic's tool use або OpenAI's function calling, огортайте кожен небезпечний інструмент у авторизаційний middleware. Не покладайтесь на те, що модель сама себе обмежить.

По-друге, авторизуйте до пошуку. RAG-пайплайни, які спочатку виконують ембедінг і пошук, а потім фільтрують результати, витікають інформацію через час відповіді та ранжування. Перевірку доступу за ідентифікатором користувача слід виконувати до запуску векторного запиту, а не після.

По-третє, встановіть жорсткі бюджетні circuit breakers для інференсу. На користувача, на сесію, на орендаря. Режими розширеного мислення та мультимодальні виклики мають принципово інший профіль вартості порівняно зі стандартними завершеннями. Інструментуйте їх окремо. Сповіщайте про аномалії витрат так само, як сповіщаєте про аномалії затримки.

По-четверте, сприймайте кожен вивід моделі як ненадійні вхідні дані для наступного етапу. Згенерований SQL параметризується. Згенерований HTML санується. Згенерований код запускається у пісочниці. Це нудна частина, і саме вона утримує вас від участі у post-mortem-аналізі інциденту.

По-п'яте, перевірте свій ланцюг поставок. Ваги сторонніх моделей, датасети для дотренування та open-source агентні інструменти несуть ризики серіалізації та отруєння даних. Якщо ви завантажуєте моделі з публічних хабів — перевіряйте контрольні суми та походження, і фіксуйте версії.

Ключові висновки

• Top 10 OWASP 2026 базується на 7 714 реальних інцидентах із вагою голосування ком'юніті 75% та даних про інциденти 25%, що робить його найбільш доказово обґрунтованим керівництвом з LLM-безпеки на сьогодні.
• Prompt Injection залишається на LLM01, але Excessive Agency (LLM03) та Unbounded Consumption (плюс чотири позиції) — категорії, в які продакшн-команди найбільше недоінвестують.
• Розмежування «LLM як компонент» проти «LLM як актор» — це ментальна модель, яку слід прийняти. До будь-якого агента з інструментами, пам'яттю і правами на виконання потрібно застосовувати Agentic Applications Top 10 паралельно.
• Hidden Context Exposure тепер охоплює RAG-схеми та логіку політик, а не лише системні промпти. Завжди авторизуйте до пошуку.
• Додаток A зіставляє кожен ризик із MITRE ATLAS, ATT&CK, CWE, NIST AI 600-1, NIST AI RMF та CSA AI Controls Matrix, що дозволяє GRC-командам інтегруватись без розробки нових контролів.