Az OWASP GenAI Security Project nagy nyelvi modellekre épülő alkalmazásokat vizsgáló 2026-os Top 10 listája egy egyre fontosabb vállalati biztonsági kérdésre irányítja a figyelmet: hogyan akadályozható meg, hogy egy AI-rendszer hibája vagy manipulálása káros műveletekhez vezessen a hozzá kapcsolódó üzleti rendszerekben?
A rangsort továbbra is a promptinjekció vezeti, amelyet az érzékeny információk kiszivárgása követ. A túlzott cselekvési szabadság — vagyis a szükségtelen képességekből, túl széles jogosultságokból és túl nagy önállóságból eredő kockázat — a hatodik helyről a harmadikra lépett elő.
A változás a biztonsági probléma kiszélesedését jelzi. Egy félrevezető szöveget előállító asszisztens az emberek döntésein keresztül okozhat kárt. Ha viszont levelezéshez, adatbázisokhoz, fejlesztői környezetekhez vagy felhőszolgáltatásokhoz is kapcsolódik, közvetlenül is cselekedhet a hibás következtetés alapján: információt adhat ki, adatokat módosíthat vagy működési zavart okozhat.
Az útmutató ezért a modellt körülvevő alkalmazás kialakítását helyezi a középpontba. A hozzáférés-szabályozás, a modelltől független jogosultság-ellenőrzés, a korlátozott eszközkészlet és a ténylegesen kikényszerített működési határok egyaránt alapvető szerepet kapnak. Az OWASP hivatalos 2026-os kiadványa
Így alakult a 2026-os rangsor
| Helyezés | Kockázati kategória | Angol megnevezés |
|---|---|---|
| 1. | Promptinjekció | Prompt Injection |
| 2. | Érzékeny információk kiszivárgása | Sensitive Information Disclosure |
| 3. | Túlzott cselekvési szabadság | Excessive Agency |
| 4. | Ellátási lánc kockázatai | Supply Chain |
| 5. | Adat- és modellmérgezés | Data and Model Poisoning |
| 6. | Korlátlan erőforrás-felhasználás | Unbounded Consumption |
| 7. | Téves vagy félrevezető információ | Misinformation |
| 8. | Rejtett kontextus feltárása | Hidden Context Exposure |
| 9. | Vektorok és beágyazások gyengeségei | Vector and Embedding Weaknesses |
| 10. | Nem megfelelő kimenetkezelés | Improper Output Handling |
A végleges listát és az egyes kategóriák hivatalos forrásanyagait a projekt nyilvános adattára tartalmazza. OWASP LLM Top 10 2026: végleges rangsor
Az incidensadatok új nézőpontot adnak a rangsorhoz
A 2026-os kiadáshoz kapcsolódó módszertani kutatás a szakmai közösség értékelését nyilvános esetleírásokkal vetette össze. A kutatók 7714 rekordot gyűjtöttek össze sérülékenységi adatbázisokból és egy AI-val kapcsolatos károkat dokumentáló adatbázisból; ezek közül 6639 kapott használható besorolást.
Az elemzés 75 százalékos súlyt adott a szakértői értékelésnek, és 25 százalékot az incidensadatokból származó jelzésnek. A szakmai megítélés tudatosan maradt meghatározó: a hiányos nyilvános adatok önmagukban nem adnak teljes képet a kockázatokról.
Fontos különbség, hogy ez két OWASP-munkacsoporttag feltáró kutatása, amely nem helyettesíti a hivatalos kiadványt. A rekordok pedig nem értelmezhetők 7714 igazolt, éles LLM-alkalmazás elleni támadásként. Sérülékenységi közlemények, dokumentált károk és incidensek eltérő bizonyítékokat jelentenek. A kapcsolódó módszertani kutatás
A promptinjekciónál jelentős eltérés mutatkozott: a szakértők első helyre sorolták, míg az incidensadatok alapján kialakított rangsorban a tizedik hely mögé került. A szerzők egyik lehetséges magyarázata szerint az intenzív védekezés csökkenti a nyilvánosan látható sikeres kihasználások számát.
Ez értelmezés, nem bizonyított, kizárólagos ok. A bejelentési gyakorlat, az adatbázisok lefedettsége és a besorolási bizonytalanság is befolyásolja az eredményt.
A téves információknál fordított eltérés jelentkezett: az incidensadatok nagyobb jelentőséget mutattak, mint a közösségi értékelés. A végleges listán a kategória a kilencedikről a hetedik helyre került.
A promptinjekció továbbra is vezető kockázat
Promptinjekcióról akkor beszélünk, amikor a modell által feldolgozott tartalom eltéríti az alkalmazást a tervezett működésétől. A 2026-os útmutató ennél jóval szélesebb támadási felületet ír le, mint egy chatbotba begépelt rosszindulatú üzenet.
Manipulatív utasítás érkezhet visszakeresett dokumentumból, weboldalról, e-mailből, eszközválaszból, képből, hangból, beszélgetési előzményből vagy tartós memóriából. A támadónak elegendő lehet olyan helyen elhelyeznie a tartalmat, amelyet az asszisztens várhatóan feldolgoz.
Ez összetett bizalmi problémát teremt. Egy vállalat megbízhat a támogatási platformjában, dokumentumtárában vagy hibajegykezelőjében, miközben nem tekintheti megbízhatónak az ott tárolt összes bejegyzést. Egy ügyfél által létrehozott hibajegy például támadó által ellenőrzött tartalmat hordozhat akkor is, ha az azt lekérő rendszer legitim.
A brit Nemzeti Kiberbiztonsági Központ, az NCSC külön figyelmeztetett arra, hogy a promptinjekciót nem célszerű az SQL-injekció egyszerű megfelelőjeként kezelni. A hagyományos SQL-védelem kikényszerítheti az utasítások és az adatok szétválasztását; az LLM-eknél nincs ezzel egyenértékű, megbízható határ. Az ügynökség ezért biztonságos rendszertervezéssel javasolja csökkenteni a kihasználás valószínűségét és következményeit. Az NCSC útmutatása
A vállalati feladat a következmények korlátozása. A visszakeresett tartalom nem kaphat utasítási jogosultságot pusztán attól, hogy bekerül a modell kontextusába. A modell által javasolt műveletet továbbra is hozzáférési ellenőrzéseknek, célpontkorlátozásoknak és érvényesítésnek kell alávetni a végrehajtás előtt.
A tartós tárolás külön figyelmet igényel. Ha a rosszindulatú anyag bekerül egy memóriatárba vagy visszakeresési adatforrásba, későbbi munkamenetek is találkozhatnak vele. Az eredeti beszélgetés lezárása nem feltétlenül távolítja el a manipuláció forrását. OWASP: Prompt Injection
A túlzott cselekvési szabadság a harmadik helyre került
Az Excessive Agency előrelépése a lista egyik legjelentősebb változása. Ez a kategória azt vizsgálja, hogy az alkalmazás milyen műveleteket enged meg a modellnek egy váratlan vagy manipulált válasz után.
Az OWASP három visszatérő okot azonosít:
- Túl sok funkció: az ügynök olyan műveleteket is elér, amelyekre a feladatához nincs szüksége.
- Túl széles jogosultság: a kapcsolódó rendszerekben a szükségesnél nagyobb hozzáféréssel rendelkezik.
- Túl nagy önállóság: jelentős következményű műveleteket végezhet megfelelő, független jóváhagyás nélkül.
Egy dokumentumolvasásra kiválasztott eszköz módosítást és törlést is támogathat. Egy termékinformációkat lekérő asszisztens adatbázis-kapcsolata írási jogosultságot is kaphat. Egy munkafolyamat pedig önállóan engedélyezhet külső hatású műveletet.
Ezek rendszertervezési döntések. Egy jól megírt prompt nem ellensúlyozza azt, ha az egyetlen felhasználó kiszolgálására tervezett asszisztens szolgáltatásfiókja az egész szervezet adataihoz hozzáfér.
Az OWASP szűk feladatkörű eszközöket, minimális jogosultságokat és a kérő felhasználó jogosultságainak megfelelő végrehajtást javasol. Az engedélyezést a modellen kívül, az eszköznél vagy a kapcsolódó szolgáltatásnál is ellenőrizni kell.
Az emberi jóváhagyásnak kikényszeríthető munkafolyamatlépésnek kell lennie. Nem ugyanaz a védelem, ha a modellt megkérik az engedélykérésre, mint ha az eszköz jóváhagyás nélkül technikailag nem hajthatja végre a műveletet. OWASP: Excessive Agency
Az autonóm folyamatokat bevezető szervezeteknek az OWASP külön, ügynökalapú alkalmazásokra vonatkozó Top 10 útmutatóját is érdemes használniuk. A két keretrendszer átfedő, de nem azonos kérdéseket kezel, többek között az eszközhasználatot, a memóriát és az összetevők közötti kapcsolatokat.
Az érzékeny információk kiszivárgása maradt a második helyen
A kategória az AI-rendszerek által befogadott, visszakeresett, átalakított és kiadott adatok védelmére összpontosít.
A probléma nem korlátozódik arra, hogy egy felhasználó bizalmas információt másol egy külső csevegőszolgáltatásba. Érzékeny adatok automatikus kontextusgyűjtéssel, dokumentumkereséssel, képernyőképekkel, naplókkal és diagnosztikai nyomkövetéssel is bekerülhetnek a rendszerbe.
A teljes adatút szabályozása szükséges. Egy dokumentum megfelelően védett lehet az eredeti alkalmazásban, majd túl széles körben hozzáférhetővé válhat, amikor egy visszakereső szolgáltatás az asszisztens kontextusába másolja, vagy egy megfigyelési platform eltárolja a teljes interakciót.
Az OWASP a feladathoz szükséges kontextusra szűkítést és a visszakeresés előtti jogosultság-ellenőrzést javasolja. A végső válasz szűrése nem megfelelő elsődleges védelem, ha a jogosulatlan adatot a modell már megkapta.
A vállalati keresésnek a teljes folyamat során meg kell őriznie a kérő felhasználó hozzáférési korlátait, az egyes dokumentumok és visszaadott szövegrészletek szintjén is.
A naplók hasonló figyelmet igényelnek. Nélkülözhetetlenek lehetnek a hibaelhárításhoz és az incidensvizsgálathoz, de egyúttal a bizalmas promptok, visszakeresett tartalmak és generált válaszok második adattárává válhatnak. OWASP: Sensitive Information Disclosure
Az ellátási lánc védelme túlmutat a szoftverfüggőségeken
Az ellátási lánc kockázatai a harmadikról a negyedik helyre kerültek, miközben a kategória széles körű összetevőket fed le.
Ide tartoznak az előtanított modellek, adatkészletek, adapterek, modellkiszolgáló platformok, konverziós eszközök és az éles környezetbe kerülést szabályozó folyamatok. A kompromittálódás kódon, adaton, modellviselkedésen vagy a modell előkészítését és terjesztését végző infrastruktúrán keresztül is megjelenhet.
A hagyományos függőségi támadások továbbra is relevánsak. A 2022. decemberi PyTorch-nightly incidens során egy rosszindulatú torchtriton csomag került a Python Package Indexre a legitim függőséggel azonos néven. Az érintett Linuxos nightly telepítések ezt a csomagot kapták meg; a stabil PyTorch-kiadásokat az eset nem érintette. A PyTorch hivatalos incidensbeszámolója
Az AI-ellátási lánc ellenőrzése során azonban azt is vizsgálni kell, pontosan milyen modell kerül a rendszerbe, és hogyan készült.
Az útmutató a modelleket, adaptereket és adatkészleteket is tartalmazó leltárt, eredetellenőrzést, digitálisan aláírt összetevőket, rögzített verzióhivatkozásokat és viselkedési értékelést javasol.
Az aláírás segíthet igazolni az eredetet és észlelni a módosítást. Azt azonban nem bizonyítja, hogy a modell biztonságos. Egy megfelelően aláírt összetevő is hordozhat káros viselkedést, ha a beszállító vagy az előállítási folyamat kompromittálódott.
A kódoló asszisztensek által kitalált csomagnevek szintén kockázatot teremtenek. Ha egy támadó regisztrál egy hihető, de korábban nem létező függőséget, az ellenőrizetlen AI-javaslat az ellátási lánc elleni támadás útvonalává válhat. OWASP: Supply Chain
Az adat- és modellmérgezés az integritást veszélyezteti
Az ötödik helyen az adat- és modellmérgezés áll. A kategória olyan manipulációt ír le, amely adatokon vagy modellösszetevőkön keresztül káros viselkedést, torzítást vagy kihasználható gyengeséget épít a rendszerbe.
A támadási felület az előtanítástól a finomhangoláson és a modellek újrafelhasználásán át az adatbetöltésig terjed. Az érintett rendszer közben a szokásos feladatokat továbbra is megfelelően teljesítheti, és csak meghatározott feltételek mellett hibázhat.
Ezért az általános teljesítménytesztek önmagukban nem feltétlenül elegendők. Egy modell elfogadható átlagos pontosságot mutathat, miközben egy célzott témára vagy kiváltó mintára hibásan reagál.
A kapcsolódó kategóriák közötti különbség segíti a védekezést. Az ellátási lánc kompromittálódása azt vizsgálja, hogyan kerül be egy nem megbízható vagy módosított összetevő. A mérgezés a manipuláció révén beépített káros viselkedésre összpontosít. A visszakeresés gyengeségei pedig azt érintik, hogyan választja ki a rendszer a modellhez eljutó tartalmat.
Egy rosszindulatú dokumentum eltávolítása, egy modell lecserélése és egy kompromittált telepítési folyamat újjáépítése eltérő helyreállítási feladat, még ha mindegyik hasonlóan félrevezető válaszhoz vezet is.
A szervezeteknek ezért nyomon kell követniük az adatok és modellek eredetét. Enélkül sokkal nehezebb meghatározni, milyen telepítésekre terjedhet ki a szennyeződés. OWASP: Data and Model Poisoning
Előrébb került a korlátlan erőforrás-felhasználás
A korlátlan erőforrás-felhasználás a tizedikről a hatodik helyre lépett. A kategória a hatékony korlátok nélkül működő AI-feladatok rendelkezésre állási és pénzügyi kockázatait emeli ki.
Ide tartoznak a túlzott számítási kapacitást igénylő kérések, az ismételt költséges műveletek és az egyértelmű leállási feltétel nélkül futó ügynöki folyamatok.
A problémához nem feltétlenül kell támadó. Egy legitim feladat is ciklusba kerülhet, újra és újra meghívhat eszközöket, vagy olyan mértékben növelheti a kontextust, hogy a következő feldolgozási lépések egyre drágábbá válnak.
Az OWASP kötelező költési plafonokat, erőforrás-kereteket, valamint a végrehajtási lépések, a rekurzió mélysége és az eltelt idő korlátozását javasolja. A kikényszerített felső határ nem azonos azzal a riasztással, amely csak utólag jelzi a megnövekedett fogyasztást.
Ez különösen fontos, ha az alkalmazás modellhívásokat fizetős API-kkal vagy más fogyasztásalapú szolgáltatásokkal kapcsol össze. Egyetlen kérés észszerűnek tűnhet, miközben a teljes folyamat elfogadhatatlan költséget generál.
A cél egy korlátozott munkafolyamat meghatározása, amelyet az alkalmazás ténylegesen le tud állítani, ha túllépi a keretet. Így a kapacitástervezés, a pénzügyi felügyelet és az incidenskezelés összekapcsolódik. OWASP: Unbounded Consumption
A téves válasz működési hibává válhat
A hetedik helyen szereplő téves vagy félrevezető információ nem csupán a chatbotválaszok tárgyi pontatlanságait jelenti.
A kategória az alá nem támasztott állításokat, félrevezető összefoglalókat, a rendszerállapot hibás leírását és az emberi döntést vagy automatizált műveletet befolyásoló hamis bizonyítékokat is lefedi.
Egy asszisztens például azt állíthatja, hogy elkészült a biztonsági mentés, miközben nem készült el. Egy ügyfélszolgálati folyamat hibásan értelmezett szabályzat alapján intézkedhet. Egy biztonsági ügynök téves értékelésre hivatkozva blokkolhat legitim tevékenységet.
Ezek szemléltető helyzetek, nem konkrét szervezeteknél igazolt esetek. A lényeg az ellenőrizetlen állítás és a következményekkel járó döntés közötti kapcsolat.
A NIST 2024 júliusában közzétett generatív AI-kockázatkezelési profilja szintén foglalkozik a magabiztosan előadott, mégis hibás kimenetekkel és a félrevezető információk kockázatával. A NIST Generative AI Profile dokumentuma
Az OWASP a válaszgenerálás és a végrehajtás szétválasztását, valamint a fontos állítások hiteles, aktuális bizonyítékokkal történő ellenőrzését javasolja.
Ez az elv a munka elvégzéséről szóló jelentésekre is vonatkozik: a modell kijelentését, hogy egy feladat sikerült, össze kell vetni a tényleges rendszerállapottal.
A visszakeresett forrásokra támaszkodás javíthatja a megbízhatóságot, de a forrásoknak pontosnak, relevánsnak és az adott felhasználó számára hozzáférhetőnek kell lenniük. A visszakeresés önmagában nem tesz egy választ hitelessé.
A rejtett kontextus feltárása váltotta fel a rendszerprompt kiszivárgását
A 2026-os kiadás a korábbi rendszerprompt-kiszivárgási kategóriát kibővíti és Hidden Context Exposure, azaz rejtett kontextus feltárása néven a nyolcadik helyre sorolja.
A kockázat a felhasználó számára közvetlenül nem látható utasítások és működési környezet kinyerését vagy rekonstruálását jelenti. Ide tartozhatnak fejlesztői utasítások, visszakeresett szabályzatok, eszközleírások, munkafolyamat-feltételek és más, a modell irányítására szolgáló információk.
Az útmutató szerint abból kell kiindulni, hogy a modell számára hozzáférhető kontextus feltárhatóvá válhat. Hitelesítő adatokat, tokeneket és más titkokat ezért nem szabad promptokba építeni. A kritikus jogosultsági döntések sem függhetnek az utasítások titkosságától.
A kockázat súlyosságát az határozza meg, mit árul el a tartalom, és mire használja azt az alkalmazás. Egy általános szerepleírás nyilvánosságra kerülése más következménnyel jár, mint egy hitelesítő adat vagy egy biztonsági korlátozás megkerülését lehetővé tevő logika feltárása.
A vizsgálatnak arra kell választ adnia, hogy az információ érdemben növeli-e a támadó lehetőségeit, vagy hatástalanít-e egy védelmi intézkedést. OWASP: Hidden Context Exposure
A vektoros keresés a vállalati adathozzáférés határává válik
A kilencedik helyen a vektorok és beágyazások gyengeségei állnak. Ezek olyan rendszereket érintenek, amelyek a tartalmat numerikus reprezentációvá alakítják, majd hasonlósági kereséssel választják ki, milyen információ jusson el a modellhez.
Az útmutató a visszakereséssel kiegészített generálás, vagyis a RAG mellett a szemantikus gyorsítótárakra és a vektoralapú memóriára is kitér. A kockázatok között szerepel a bérlők közötti adatszivárgás, a visszakeresés manipulálása, valamint a forrásadatokra történő következtetés vagy azok részleges rekonstruálása.
Központi kérdés a keresés és a jogosultság-ellenőrzés sorrendje. Ha a rendszer előbb közös indexben keres, és csak utólag alkalmaz hozzáférési korlátozásokat, már a találatok vagy a keresés megfigyelhető viselkedése is információt árulhat el.
A jogosultságoknak ezért magát a keresést is szabályozniuk kell. Különösen érzékeny környezetben erősebb elkülönítésre lehet szükség a bérlők vagy adatkörök között.
A numerikus reprezentációkat sem szabad automatikusan anonimnak tekinteni. Bizonyos körülmények között a beágyazások információt fedhetnek fel a forrásanyagról, amit a vektortárak és biztonsági mentéseik védelménél is figyelembe kell venni. OWASP: Vector and Embedding Weaknesses
A kimenetkezelés a tizedik helyen is alapvető védelem
A nem megfelelő kimenetkezelés az ötödikről a tizedik helyre került. Az alacsonyabb relatív helyezés azonban nem teszi biztonságossá a generált tartalom ellenőrzés nélküli végrehajtását vagy megjelenítését.
A kategória a parancsértelmezőknek, adatbázis-lekérdezéseknek, weboldalaknak, fájlútvonalaknak és más szoftverösszetevőknek átadott modellkimeneteket érinti.
Kevésbé nyilvánvaló útvonalak is számítanak. Egy megjelenítő például automatikusan letölthet egy, a generált szövegben hivatkozott képet. Ha a célcím érzékeny adatot tartalmaz, maga a megjelenítés is adatkiszivárogtatási csatornává válhat.
Az OWASP a felhasználási környezethez igazított kódolást, paraméterezett adatbázis-műveleteket, szigorú ellenőrzést és az automatikus erőforrás-betöltés szabályozását javasolja. A generált kódnak ugyanúgy át kell esnie a megfelelő felülvizsgálaton és biztonsági ellenőrzéseken, mint bármely más kódnak.
A modell kimenete hagyományos szoftverkörnyezetbe kerül, amelynek saját végrehajtási szabályai vannak. A gördülékeny vagy helyesen formázott válasz nem bizonyítja, hogy az adott célrendszerben biztonságos is. OWASP: Improper Output Handling
Mit jelent mindez a biztonsági vezetőknek?
A rangsor gyakorlati kérdésekre irányítja a figyelmet: mit olvashat az alkalmazás, mit változtathat meg, kinek a jogosultságával működik, és mi történik, ha hibás kimenetet állít elő?
A felülvizsgálatnak a ténylegesen működő folyamatból kell kiindulnia. A biztonsági csapatoknak ismerniük kell az adatforrásokat, modellverziókat, eszközöket, használt identitásokat, memóriatárakat, naplózási célpontokat és külső kapcsolatokat.
A tesztelésnek ezeket a kapcsolatokat is követnie kell. Korlátozott bizonyosságot ad annak ellenőrzése, hogy egy chatbot visszautasít-e egy rosszindulatú kérést, ha közben a visszakeresett tartalom az alkalmazás más részén magasabb jogosultságú végrehajtáshoz juthat.
A kiadvány más keretrendszerekkel való megfeleltetései segíthetik a kockázatok beillesztését a meglévő irányítási és fejlesztési programokba. Az egyes telepítések tényleges kitettségének vizsgálatát azonban nem helyettesítik.
Az AI bevezetéséről döntő vezetőknek azt kell igazolniuk, hogy a következményekkel járó működés korlátozott és megfigyelhető: a jogosultságok behatárolják a hozzáférést, független ellenőrzések szabályozzák a műveleteket, a költségeknek kikényszerített felső határuk van, az incidenskezelők pedig képesek felismerni és megfékezni a hibát.
Ahogy az AI-alkalmazások több képességet kapnak, egyre inkább a köréjük épített rendszer biztonsága határozza meg, meddig terjedhet egy modell tévedésének vagy egy támadó manipulációjának következménye.
Eredeti cím: OWASP’s 2026 LLM Top 10 Puts AI Agent Permissions and Operational Risk in Focus
