OWASP发布首个AI代理Top 10安全风险列表。88%的企业去年已遭遇代理安全事件。以下是详细分析。

OWASP 于2025年12月发布了《自主代理应用Top 10》——这是首个针对自主AI代理的正式风险分类体系。不是聊天机器人，不是辅助工具，而是能够规划、使用工具、维护记忆并在无需等待许可的情况下自主行动的代理。以下是相关数据： * 88%的企业在过去12个月内报告了AI代理安全事件（Gravitee调查，919名受访者） * 只有21%的企业对其代理的运行行为具有实时可见性 * 82%的企业在其环境中存在未知代理（云安全联盟，2026年4月） * 5.5%的公共MCP服务器包含被投毒的工具描述，启用自动批准时的攻击成功率达84.2%。 以下是各项风险列表及其背后的真实攻击案例： **ASI01 - 代理目标劫持：**针对代理的提示注入攻击。研究人员在GitHub的MCP集成中演示了这种攻击——一个恶意的GitHub Issue将编码代理重定向，导致其从私有仓库中窃取数据。在整个过程中，代理看起来一切正常。 **ASI02 - 工具滥用：**一个金融服务代理被诱骗运行了一个匹配所有客户记录的正则表达式，通过一次语法上合规的工具调用导出了45,000条记录。该代理有权查询记录，只是不能一次性查询全部。 **ASI03 - 身份与权限滥用：**代理会继承用户权限并缓存凭据。一旦攻破委托链中的某个代理，攻击者即可获得该链中所有用户的组合权限。 **ASI04 - 供应链攻击：**OX Security发现，Anthropic 的 MCP SDK（涵盖 Python、TypeScript、Java 和 Rust）中存在架构缺陷，导致超过 7,000 个 MCP 服务器和软件包（累计下载量超过 1.5 亿）存在漏洞。 **ASI05 - 意外代码执行：**Check Point 演示了通过在仓库中植入投毒的 `.claude` 配置文件，在 Claude Code 中实现远程代码执行（RCE）。打开仓库后，代理读取配置，并以完整的开发者权限执行恶意载荷。 **ASI06 - 内存投毒：**Galileo AI 发现，在多代理系统中，一个被攻陷的代理在 4 小时内毒害了 87% 的下游决策。Morris-II 展示了自我复制型对抗提示在 RAG 系统中的传播。该攻击已针对 ChatGPT、Gemini 和 Claude 进行了现场演示。 **ASI07 - 不安全的代理间通信：**多代理系统通过消息总线和共享内存进行协调。缺乏认证机制意味着攻击者可以实施自然语言形式的中间代理攻击。 **ASI08 - 级联故障：**自然语言错误能够通过验证检查——这些检查本应在类型化系统中捕获格式错误的数据。一个不良输入会以快于人类干预的速度在整个代理链中引发连锁反应。 **ASI09 - 人机信任利用：**被攻陷的代理提供了一个干净的摘要——“批准此数据导出。”用户点击确认。审计日志中显示用户已批准。而真正来源是一个被操纵的代理。 **ASI10 - 恶意代理：**相当于AI领域的内鬼威胁。单个行为看似合法，只有通过持续的行为监控才能发现。 规律：这些风险并非独立存在，它们形成了一条杀伤链。目标劫持导致工具滥用，供应链攻击使得代码执行和内存投毒成为可能，信任利用则是恶意代理逃避检测的手段。完整OWASP文档请见[此处](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/)