Az OWASP GenAI Security Project közzétette az OWASP Top 10 for LLM Applications 2026 útmutatót, amely új sorrendben és jelentősen kibővített fenyegetési modellel mutatja be a nagy nyelvi modellekre és generatív mesterséges intelligenciára épülő alkalmazások tíz legfontosabb biztonsági kockázatát.
A 2026-os kiadás már nem kizárólag szakértői véleményekre épül. Az OWASP több mint 7700 valós AI-biztonsági incidenst vizsgált meg, amelyek közül 6639 tartalmazott elegendő információt ahhoz, hogy a kutatók valamely kockázati kategóriába sorolják. A végső rangsorban a közösségi szakértői értékelés 75 százalékos, az incidensadatok pedig 25 százalékos súlyt kaptak.
Az eredmény jól mutatja, mennyit változott az AI-biztonság mindössze egyetlen év alatt. Az Excessive Agency, vagyis a túlzott ügynöki jogosultság a hatodik helyről a harmadikra emelkedett, az Unbounded Consumption a tizedikről a hatodikra ugrott, míg az Improper Output Handling az ötödik helyről egészen a tizedikig csúszott vissza. A korábbi System Prompt Leakage kategóriát pedig egy tágabb Hidden Context Exposure kockázat váltotta fel.
Az OWASP 2026-os listája a következő:
- LLM01:2026 – Prompt Injection
- LLM02:2026 – Sensitive Information Disclosure
- LLM03:2026 – Excessive Agency
- LLM04:2026 – Supply Chain
- LLM05:2026 – Data and Model Poisoning
- LLM06:2026 – Unbounded Consumption
- LLM07:2026 – Misinformation
- LLM08:2026 – Hidden Context Exposure
- LLM09:2026 – Vector and Embedding Weaknesses
- LLM10:2026 – Improper Output Handling.
LLM01:2026 – Prompt Injection
A prompt injection továbbra is az első számú LLM-biztonsági kockázat.
A támadás lényege, hogy egy támadó olyan adatot juttat a modell kontextusába, amely megváltoztatja annak viselkedését, és ráveszi valamire, amit az alkalmazás fejlesztője eredetileg nem engedélyezett.
Ez már messze nem kizárólag azt jelenti, hogy valaki egy chatablakba beírja: „felejtsd el az előző utasításokat”.
A támadó utasítás érkezhet:
- dokumentumból,
- weboldalról,
- RAG-adatbázisból,
- API-válaszból,
- tool outputból,
- képből,
- hangból,
- videóból,
- memóriából,
- vagy akár egy másik AI-agenttől.
Az OWASP külön kiemeli, hogy az LLM-ek alapvetően nem képesek olyan éles technikai határt húzni az utasítás és az adat között, mint például egy hagyományos alkalmazás paraméterezett SQL-lekérdezése. A rendszerprompt, felhasználói adat, dokumentumok, eszközválaszok és memória végül ugyanabban a modellkontextusban találkozhatnak.
A 2026-os kiadás már külön foglalkozik a multimodális prompt injectionnel is. Egy rosszindulatú utasítást például el lehet rejteni egy olyan képben vagy hanganyagban, amelyet a felhasználó teljesen ártalmatlannak lát vagy hall.
A veszély különösen nagy akkor, ha az AI-agent:
- e-mailt küldhet,
- fájlokat olvashat,
- adatbázishoz fér hozzá,
- shell parancsot futtathat,
- cloud API-kat kezelhet,
- MCP szervereket használhat,
- vagy más agenteket irányíthat.
Ekkor egy sikeres prompt injection már nem egyszerűen „rossz AI-választ”, hanem valódi rendszerkompromittálódást eredményezhet.
LLM02:2026 – Sensitive Information Disclosure
A második helyen változatlanul az érzékeny információk kiszivárgása áll.
Az LLM-alapú rendszerek rendkívül sok érzékeny adatot láthatnak működés közben:
- személyes adatokat,
- üzleti dokumentumokat,
- API-kulcsokat,
- hitelesítő adatokat,
- rendszerpromptokat,
- ügyféladatokat,
- forráskódot,
- RAG-adatbázisok tartalmát,
- valamint más felhasználók vagy tenantok információit.
A probléma nem kizárólag akkor jelentkezik, amikor a modell közvetlenül „elárul” egy adatot.
Adatszivárgás történhet naplókon, observability rendszereken, cache-en, inference side-channel technikákon vagy akár rejtett hálózati csatornákon keresztül is. Az OWASP például külön említi azokat az observability platformokat, amelyek teljes promptokat és válaszokat tárolhatnak, valamint olyan kutatásokat, amelyek titkosított forgalomból is képesek voltak információt következtetni.
Ez adatvédelmi szempontból is különösen fontos.
Egy vállalati AI bevezetésekor tehát nem elég azt megvizsgálni, hogy mit ír be a felhasználó a chatbotba. A teljes adatáramlást át kell tekinteni:
modell → RAG → plugin → agent → log → monitoring → külső szolgáltató → output.
LLM03:2026 – Excessive Agency
A 2026-os lista egyik legfontosabb változása az Excessive Agency, vagyis a túlzott agent-jogosultság előretörése.
A kategória a hatodik helyről a harmadikra ugrott. Az OWASP szerint ez volt a rangsor egyik legjelentősebb változása, mert mind a szakértői értékelések, mind a valós incidensek azt mutatják, hogy egyre nagyobb kár keletkezik akkor, amikor AI-agentek túl sok jogosultságot vagy autonómiát kapnak.
A kockázat akkor jelenik meg, amikor egy LLM-alapú rendszer:
- több funkcióhoz fér hozzá, mint amennyi szükséges;
- túl széles jogosultságokat kap;
- túl kevés emberi jóváhagyást igényel;
- vagy olyan műveleteket hajthat végre, amelyek közvetlen üzleti következményekkel járnak.
Az OWASP példája szerint egy e-mailes AI-agent egy rosszindulatú üzenet hatására végigkutathatná a felhasználó postafiókját, majd érzékeny adatokat továbbíthatna a támadónak.
A védekezés itt nem pusztán jobb promptfilter.
A megoldás:
- minimális funkcionalitás;
- minimális OAuth scope;
- least privilege;
- kritikus műveleteknél emberi jóváhagyás;
- rate limiting;
- és világos authorization boundary.
Az OWASP külön hangsúlyozza: ha az agentnek csak olvasnia kell az e-maileket, ne rendelkezzen küldési jogosultsággal. Ha mégis képes üzenetet készíteni, a tényleges elküldéshez célszerű emberi jóváhagyást követelni.
LLM04:2026 – Supply Chain
A negyedik helyre került az AI supply chain, vagyis a mesterséges intelligencia ellátási láncának kompromittálása.
A hagyományos szoftverellátási láncban függőségeket, könyvtárakat vagy buildrendszereket támadnak.
Az AI ezt jelentősen kibővíti.
Az ellátási lánc része lehet:
- egy előre betanított modell;
- dataset;
- LoRA adapter;
- embedding modell;
- tokenizer;
- model conversion pipeline;
- fine-tuning rendszer;
- model repository;
- deployment platform;
- vagy egy model artifact.
Egy szervezet tehát úgy is kompromittálódhat, hogy egy látszólag megbízható forrásból letöltött modell már eleve módosított vagy backdoort tartalmaz.
Az OWASP szerint az AI-supply-chain kezelésében a modell eredete és integritása ugyanolyan elsődleges biztonsági kérdéssé vált, mint a hagyományos szoftverfüggőségek ellenőrzése.
Ezért a szervezeteknek egyre inkább szükségük lesz:
- modell- és dataset-provenance nyilvántartásra;
- digitális aláírásra;
- hash-ellenőrzésre;
- SBOM/ML-BOM használatára;
- beszállítói kockázatértékelésre;
- és model artifact validációra.
LLM05:2026 – Data and Model Poisoning
Az ötödik kockázat a Data and Model Poisoning.
Ebben az esetben a támadó nem feltétlenül közvetlenül az AI-alkalmazást támadja meg.
Ehelyett azokat az adatokat vagy modelleket manipulálja, amelyekből a rendszer tanul vagy információt szerez.
Poisoning történhet:
- pre-training során;
- fine-tuning datasetben;
- RAG knowledge base-ben;
- embedding adatbázisban;
- model memoryban;
- vagy harmadik féltől származó model artifacton keresztül.
Egyetlen megfelelően optimalizált rosszindulatú dokumentum is képes lehet arra, hogy egy RAG-rendszer bizonyos kérdésekre támadó által választott információt részesítsen előnyben.
Az OWASP már az AI-agent memóriájának mérgezését és a több agentből álló rendszerekben terjedő poisoningot is számításba veszi.
A javasolt védekezések között szerepel:
- dataset- és modell-lineage nyilvántartása;
- ML-BOM;
- digitális aláírás;
- szigorú adatvalidáció;
- forrásmegbízhatósági pontozás;
- RAG trust boundary;
- sandboxing;
- anomáliadetektálás;
- drift monitoring.
LLM06:2026 – Unbounded Consumption
Az Unbounded Consumption az előző lista tizedik helyéről a hatodikra emelkedett.
Az AI-rendszerek rendkívül drága számítási erőforrásokat használhatnak, ezért a támadók már nem kizárólag klasszikus DoS-támadással próbálhatják leállítani őket.
Megjelent a Denial of Wallet – DoW fogalma is.
Egy támadó például tömegesen generálhat olyan lekérdezéseket, amelyek:
- sok tokent fogyasztanak;
- hosszú reasoning folyamatot indítanak;
- nagy GPU-terhelést okoznak;
- több tool callt váltanak ki;
- vagy végtelen agent-loopot hoznak létre.
Az OWASP példát hoz olyan hosszú agent-sessionre is, amelyben minden új körben újra feldolgozásra kerül az addig felhalmozott teljes kontextus. Egyetlen kérés még nem feltétlenül lépi át a rate limitet, miközben az összköltség folyamatosan emelkedik.
A védekezéshez ezért szükség lehet:
- tokenlimitekre;
- query budgetre;
- tool-call limitre;
- concurrency controlra;
- session- és context limitekre;
- költségriasztásokra;
- timeoutokra;
- circuit breaker mechanizmusokra.
LLM07:2026 – Misinformation
A Misinformation a kilencedik helyről a hetedikre emelkedett.
Ez különösen érdekes eredménye az OWASP új adatvezérelt módszertanának.
A szakértők viszonylag alacsonyabbra rangsorolták ezt a kockázatot, miközben a valós incidensadatok szerint sokkal gyakoribb probléma. Az OWASP szerint ez volt az egyik legnagyobb különbség a szakértői vélemények és a tényleges incidensek között.
A misinformation akkor válik biztonsági kérdéssé, amikor az AI:
- hibás;
- hiányos;
- bizonyítatlan;
- vagy félrevezető
információt generál, és azt valaki vagy valamilyen automatizált rendszer megbízhatóként kezeli.
A probléma tehát nem maga a hallucination.
A valódi veszély az, amikor a hallucinationból döntés vagy művelet lesz.
Ha például egy AI-agent hibás információ alapján:
- konfigurációt módosít;
- pénzügyi döntést hoz;
- gyógyszerelést ajánl;
- biztonsági riasztást zár le;
- vagy produkciós kódot változtat meg,
akkor a modell tévedése közvetlen rendszerkockázattá válik.
LLM08:2026 – Hidden Context Exposure
A korábbi System Prompt Leakage kategóriát 2026-ban a jóval szélesebb Hidden Context Exposure váltotta fel.
Ennek oka, hogy az alkalmazás rejtett kontextusa ma már messze többet jelent egy egyszerű system promptnál.
Ide tartozhat:
- system instruction;
- tool schema;
- API-kapcsolatok;
- belső policy;
- infrastruktúra-információ;
- credential;
- workflow;
- agentkonfiguráció;
- vagy más, felhasználónak nem szánt információ.
Az OWASP példája szerint egy támadó kinyerheti az agent rendelkezésére álló eszközök és paraméterek struktúráját, majd ezt felhasználhatja egy célzottabb prompt injection vagy tool abuse támadás előkészítéséhez.
Még akkor is értékes lehet ez az információ, ha közvetlenül semmilyen jelszó nem szivárog ki.
Az OWASP hangsúlyozza azt is, hogy kritikus biztonsági kontrollokat nem szabad a system promptban tárolt szabályokra bízni.
Authorizationt, privilege separationt és hozzáférési korlátozásokat determinisztikus alkalmazáskódnak kell kikényszerítenie, nem pedig az LLM-nek.
LLM09:2026 – Vector and Embedding Weaknesses
A kilencedik helyen a Vector and Embedding Weaknesses áll.
A kategória minden olyan rendszerre vonatkozik, ahol:
- szöveget,
- képet,
- hangot,
- kódot
embeddinggé alakítanak, majd similarity search alapján döntenek arról, hogy milyen információ kerüljön a modell elé.
A legismertebb példa a RAG, de ugyanez a technológia megjelenhet:
- agent memóriában;
- semantic cache-ben;
- deduplikációban;
- multimodális keresésben.
Az OWASP szerint amikor a similarity search dönti el, milyen adat kerül a promptba, maga az embedding-réteg is biztonsági trust boundaryvé válik.
A támadó manipulálhatja az embedding space-t, rosszindulatú dokumentumokat juttathat a vector store-ba, vagy akár backdoort tartalmazó embedding modellt is használhat.
A védelemhez ezért nem csupán a visszakeresett szöveget, hanem:
- az embedding modellt;
- a vector database-t;
- a dokumentumok eredetét;
- a hozzáférési szabályokat;
- és a retrieval logikát
is ellenőrizni kell.
LLM10:2026 – Improper Output Handling
A korábbi ötödik helyről a tizedikre került az Improper Output Handling, de ettől még komoly kockázat maradt.
A probléma akkor jelentkezik, amikor egy rendszer az LLM válaszát automatikusan megbízható adatként kezeli.
Például:
- LLM output →
exec(); - LLM output → shell;
- LLM output → SQL;
- LLM output → HTML;
- LLM output → JavaScript;
- LLM output → fájlnév vagy elérési út;
- LLM output → e-mail template.
Ha nincs megfelelő validáció és encoding, a modell által generált tartalom klasszikus sérülékenységeket hozhat létre.
Az OWASP konkrétan említi:
- remote code execution;
- XSS;
- SQL injection;
- path traversal;
- phishing;
- terminál escape sequence támadásokat;
- valamint Markdownon vagy automatikus linkbetöltésen keresztüli adat-exfiltrációt.
A javaslat egyszerű elvre épül:
az LLM outputját ugyanolyan nem megbízható inputnak kell tekinteni, mint bármely más külső adatot.
Ezért továbbra is szükséges:
- input validation;
- output encoding;
- prepared statement;
- CSP;
- sanitization;
- és szigorúan kontrollált backend interface.
Az agentic AI megváltoztatja a biztonsági határokat
A 2026-os kiadás egyik legfontosabb üzenete, hogy különbséget kell tenni egy LLM mint alkalmazáskomponens és egy autonóm AI-agent között.
Az LLM Top 10 elsősorban arra az esetre készült, amikor a modell egy alkalmazás részeként működik.
Amikor azonban a modell:
- eszközöket használ;
- memóriát őriz;
- más agentekkel kommunikál;
- műveleteket kezdeményez;
- és valós rendszerekben változtatásokat hajt végre,
akkor már az OWASP Top 10 for Agentic Applications 2026 kockázatait is figyelembe kell venni.
A két lista tehát nem egymás versenytársa.
Egy komplex vállalati agentic AI rendszer esetében együttesen kell alkalmazni őket.
Az OWASP több szabványhoz is hozzárendelte a kockázatokat
A 2026-os útmutató egyik legnagyobb újdonsága, hogy a Top 10 kockázatait több, széles körben használt biztonsági és governance frameworkkel is összekapcsolja.
A dokumentum többek között mappinget tartalmaz:
- OWASP Agentic Applications Top 10;
- OWASP GenAI Data Security 2026;
- MITRE ATLAS;
- MITRE ATT&CK;
- MITRE CWE;
- NIST AI 600-1;
- NIST AI Risk Management Framework;
- CSA AI Controls Matrix;
- OWASP AI Vulnerability Scoring System
felé.
Ez vállalati környezetben különösen hasznos, mert a GenAI-biztonság így könnyebben beépíthető meglévő:
- kockázatkezelési;
- információbiztonsági;
- audit;
- compliance;
- DevSecOps;
- és AI-governance
folyamatokba.
A 2026-os lista egyik legfontosabb tanulsága
Az új OWASP Top 10 egy egyre világosabb irányt mutat.
A generatív AI biztonságát nem lehet pusztán a modell biztonságával megoldani.
A rendszer egészét kell védeni.
Az OWASP projektvezetői ezt lényegében úgy foglalják össze, hogy nem arra kell építeni a védelmet, hogy olyan modellt készítsünk, amelyet soha nem lehet manipulálni. Olyan architektúrát kell kialakítani, amelyben akkor sem történik komoly baj, ha a modell manipulálhatóvá válik.
Ez egyben a 2026-os AI-biztonság egyik legfontosabb szemléletváltása.
A kérdés már nem csak az:
„Meg lehet-e téveszteni az AI-t?”
Hanem az:
„Mi történik, ha sikerül?”
Ha egy manipulált modellnek nincs hozzáférése kritikus adathoz, nincs túlzott jogosultsága, nem futtathat ellenőrizetlen kódot, nem dönthet egyedül magas kockázatú műveletről és minden outputja megfelelő validáción megy keresztül, akkor egy prompt injection vagy hallucination következménye jelentősen korlátozható.
Ha azonban ugyanaz az AI hozzáfér vállalati e-mailhez, dokumentumokhoz, fájlrendszerhez, cloud API-khoz, adatbázisokhoz és adminisztratív eszközökhöz, ugyanaz a modellhiba már teljes biztonsági incidenssé válhat.
Az OWASP Top 10 for LLM Applications 2026 ezért már nem egyszerűen egy „AI sebezhetőségi lista”.
Sokkal inkább egy biztonsági architektúra-tervezési útmutató ahhoz a korszakhoz, amikor az AI nemcsak válaszol, hanem egyre gyakrabban hozzáfér, dönt és cselekszik is.
