OWASP Top 10 pro LLM aplikace 2026: počítejte s oklamaným modelem

Dva seznamy a jejich stav k říjnu 2026

Kdo pracuje s materiály z loňska, má v ruce zastaralé pořadí. Projekt OWASP GenAI Security Project dnes udržuje dva oddělené dokumenty a oba se za poslední rok změnily.

• OWASP Top 10 for LLM Applications 2026. Stránka publikace uvádí datum 3. srpna 2026, repozitář projektu 4. srpna 2026. Nahrazuje edici 2025 a popisuje rizika aplikace postavené nad jazykovým modelem.
• OWASP Top 10 for Agentic Applications 2026. Vyšel 9. prosince 2025 a podle OWASP na něm pracovalo přes 100 odborníků. Pokrývá systémy, které samy plánují, volají nástroje a jednají ve více krocích.

Edice 2026 poprvé nestojí jen na hlasování. Podle Help Net Security mělo expertní hlasování váhu 75 % a zbylých 25 % tvořila data z 6 639 reálných incidentů z veřejných databází zranitelností a databáze škod způsobených AI. Tentýž článek cituje vedoucí projektu: přestaňte se snažit postavit model, který nejde oklamat, a stavte systém kolem něj tak, aby se při oklamání nerozbilo nic důležitého.

K oběma seznamům přibyl 1. září 2026 Agent Control Standard (ACS) – otevřený rámec, podle něhož mají být agenti inspektovatelní, trasovatelní a instrumentovatelní, s možností řídit jejich chování za běhu. Standard je nový; má smysl ho sledovat, ne podle něj zatím psát interní normy.

Co se změnilo proti edici 2025

Všech deset kategorií zůstalo, změnilo se pořadí a jeden název. Přesný seznam uvádí repozitář projektu, srovnání s rokem 2025 shrnuje například Imperva.

Vzorec je čitelný: nahoru šla rizika, která existují až za běhu aplikace (oprávnění, spotřeba), dolů ta, na která má aplikační bezpečnost dávno zavedené obrany. Pokles Improper Output Handling na desáté místo tedy neznamená, že problém zmizel – znamená, že se ví, jak ho řešit.

LLM Top 10: co to je a jak se bránit

Příklady níže jsou typické scénáře, pokud u nich není odkaz na konkrétní incident.

LLM01 Prompt Injection

Model nerozlišuje instrukce od dat, takže text v e-mailu, dokumentu nebo na webové stránce může změnit jeho chování. Edice 2026 výslovně zahrnuje i instrukce ukryté v obrázcích a zvuku. Reálný případ: zranitelnost EchoLeak (CVE-2025-32711) v Microsoft 365 Copilot, kde podle publikované analýzy stačil jediný připravený e-mail k exfiltraci dat bez jakékoli akce uživatele; útok mimo jiné obešel klasifikátor prompt injection i redakci odkazů. Obrana: vstupní filtr berte jako jednu vrstvu, ne jako řešení. Rozhoduje, k čemu má model přístup a kam smí odcházet data.

LLM02 Sensitive Information Disclosure

Model vrátí data, která uživatel vidět neměl – z trénovacích dat, z kontextu nebo z RAG. Typicky interní asistent nad sdíleným úložištěm, který odpovídá z dokumentů HR komukoli. Obrana: autorizace před vyhledáním (dotaz do indexu běží s právy uživatele, ne služby), minimalizace dat v kontextu, filtrování výstupu.

LLM03 Excessive Agency

Systém má víc nástrojů, oprávnění nebo autonomie, než úloha vyžaduje. Agent pro čtení ticketů s tokenem, který umí i mazat repozitáře. Obrana: nástroje s úzkým rozsahem, oddělené identity, lidské schválení u nevratných akcí.

LLM04 Supply Chain

Modely, adaptéry, datasety, pluginy a rozšíření jsou závislosti jako každé jiné. Reálný případ: do verze 1.84.0 rozšíření Amazon Q Developer pro VS Code se v červenci 2025 dostal škodlivý kód přes nesprávně omezený GitHub token v konfiguraci buildu; podle bulletinu AWS se kvůli syntaktické chybě nespustil a opravu přinesla verze 1.85.0. Obrana: připnuté verze a hashe modelů, ověřený původ, sken závislostí – stejná disciplína jako u SCA pro běžný kód.

LLM05 Data and Model Poisoning

Zmanipulovaná trénovací, fine-tuningová nebo embeddingová data mění chování modelu. Obrana: evidence původu dat, review změn datasetů stejně jako změn kódu, regresní evaluace před nasazením nové verze modelu.

LLM06 Unbounded Consumption

Nekontrolovaná inference vyčerpá rozpočet nebo kapacitu – včetně útoku „denial of wallet“. Typicky veřejný chatbot bez limitů nebo agent zacyklený v opakovaných voláních. Obrana: rate limiting, limity tokenů a kroků na požadavek, rozpočtové stropy na uživatele a tenant, alerting na anomálie v nákladech.

LLM07 Misinformation

Sebejistě formulovaný nesprávný výstup, který škodí hlavně tehdy, když na něj navazuje automatizace. Obrana: ukotvení odpovědí ve zdrojích, validace strukturovaných výstupů, lidská kontrola u rozhodnutí s dopadem.

LLM08 Hidden Context Exposure

Rozšíření původního úniku systémového promptu na vše, co aplikace modelu předkládá bez vědomí uživatele: načtené dokumenty, definice nástrojů, paměť, konfiguraci. Obrana: předpokládejte, že cokoli v kontextu lze získat. Žádné klíče, hesla ani autorizační logika v promptu – přístup vynucuje kód mimo model.

LLM09 Vector and Embedding Weaknesses

Slabiny RAG: podvržené dokumenty v indexu, únik mezi tenanty, chybějící řízení přístupu ve vektorové databázi. Obrana: oprávnění na úrovni dokumentu, oddělené indexy pro různé úrovně citlivosti, kontrola toho, kdo smí do indexu zapisovat.

LLM10 Improper Output Handling

Výstup modelu se bez validace předá dál – do prohlížeče, SQL, shellu. Princip je stejný jako u injekčních chyb z klasického OWASP Top 10. Obrana: výstup modelu je nedůvěryhodný vstup; kódování podle cílového kontextu, parametrizované dotazy, schémata.

Agentic Top 10: když model začne jednat

Seznam pro agentní aplikace neopakuje LLM Top 10, ale popisuje, co přibude, když systém dostane nástroje, paměť a další agenty. Názvy kategorií uvádí oznámení OWASP; to u ASI01 odkazuje právě na EchoLeak a u ASI02 na incident Amazon Q.

Formulace obran v tabulce vycházejí ze shrnutí, které zveřejnil Cycode. Tentýž text vysvětluje princip least agency: agent dostane jen nezbytnou míru autonomie, nástrojů a oprávnění.

Mapování na praxi, kterou už tým má

Většina obran není nová. Nové je jen to, že „uživatelem“ s oprávněními je nedeterministická komponenta, kterou lze přesvědčit textem.

Least privilege a identita

• Každý agent má vlastní workload identitu (IAM role, managed identity, service account), ne sdílený klíč ani token vývojáře.
• Oprávnění se vynucují v cloudu a v API, ne v promptu. Instrukce „nemaž data“ není kontrola.
• Čtecí a zapisovací nástroje jsou oddělené; zápis do produkce vyžaduje schválení.

Pipeline

• Prompty, definice nástrojů a konfigurace agentů patří do Gitu a procházejí review.
• Modely a MCP servery se připínají na verzi a hash, podobně jako image.
• Agent v CI nemá přístup k produkčním secrets; incident Amazon Q začal právě u příliš širokého tokenu v buildu. Podrobněji v článku o zabezpečení CI/CD.
• Evaluace a testy na prompt injection běží jako brána před nasazením.

Izolace a síť

Kód vygenerovaný agentem má běžet v sandboxu bez výchozího přístupu ven. V Kubernetes je základem NetworkPolicy, která egress zakáže a povolí jen DNS a konkrétní bránu k modelu:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: agent-sandbox-egress
  namespace: ai-agents
spec:
  podSelector:
    matchLabels:
      app: agent-sandbox
  policyTypes: ["Egress"]
  egress:
    - to:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: kube-system
      ports:
        - protocol: UDP
          port: 53
    - to:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: llm-gateway
      ports:
        - protocol: TCP
          port: 443

Politika funguje jen s CNI, které NetworkPolicy vynucuje. Proti exfiltraci ve stylu EchoLeak pomáhá právě tohle: i úspěšně injektovaný agent nemá kam data poslat.

Logování a limity

• Logujte každé volání nástroje: kdo, jaký agent, jaké parametry, jaký výsledek. Bez toho incident nevyšetříte. Návaznost na bezpečnostní monitoring a logování je přímá.
• Centrální brána k modelům řeší rate limiting, rozpočty i audit na jednom místě.
• Pozor na obsah logů: prompty a odpovědi často obsahují osobní nebo citlivá data.

Kde seznamy nestačí a co jim lze vytknout

• Jsou to osvětové dokumenty, ne normy. Top 10 neříká, jak ověřit, že je kontrola splněna. Pro audit potřebujete vlastní požadavky a testy.
• Pořadí není vaše pořadí. Tři čtvrtiny váhy tvoří hlasování odborníků. Interní RAG bez nástrojů má na prvním místě LLM02 a LLM09, ne Excessive Agency.
• Prompt injection nemá spolehlivou opravu. Filtry a klasifikátory riziko snižují, ale EchoLeak ukázal, že je lze obejít. Kdo slibuje úplnou ochranu na úrovni modelu, slibuje příliš.
• Lidské schvalování má strop. Při desítkách potvrzení denně lidé klikají bez čtení – přesně to popisuje ASI09. Schvalování nechte jen pro nevratné akce.
• Přísná izolace něco stojí. Agent bez přístupu ven a s úzkými nástroji je méně užitečný. U prototypu na syntetických datech je plná sada kontrol zbytečná; u agenta s přístupem do produkce ne.

Co udělat v pondělí

Klíčové poznatky

• Platná je edice 2026. Vyšla začátkem srpna 2026; Excessive Agency je třetí, Unbounded Consumption šestá, System Prompt Leakage se změnila v Hidden Context Exposure.
• Agenti mají vlastní seznam. ASI01–ASI10 z prosince 2025 doplňuje LLM Top 10 o identitu, nástroje, paměť a komunikaci mezi agenty.
• Počítejte s oklamaným modelem. Obrana se přesouvá z modelu do architektury: oprávnění, izolace, limity.
• Většinu už umíte. Least privilege, bezpečná pipeline, síťová segmentace a logování platí beze změny – jen pro nový typ workloadu.
• Seznam není certifikace. Pořadí si přizpůsobte vlastní architektuře a kontroly ověřujte testy.