2026 年版变了什么
以前几版清单靠的是投票。2026 年版把投票结果拿去和真实出过的问题对照。它收集了来自公开漏洞数据库和一个 AI 危害数据库的 7,714 起事件，用分类器整理出其中细节足够的 6,639 起。投票仍占四分之三的权重，事件数据占其余的四分之一。
两者在一些有价值的地方并不一致。按原始事件记录来排，提示词注入会掉出前十。OWASP 把这解读为防御起了作用：各团队全力对付注入，所以公开数据库里的干净利用案例更少。它仍然排第一。错误信息则相反。投票的人把它放在靠后的位置，事件记录把它放在靠前的位置，最后它落在中间，排第七。
这次的顺序变动比往年都大。过度代理升到第三，因为投票和事件记录都表明，智能体部署正是损失集中出现的地方。无限制消耗上升了四位。不当输出处理跌得最多，从第五掉到第十。原来的系统提示词泄露，现在叫隐藏上下文暴露，上一课讲过。
还有几项是把范围扩大了，而不是新增条目。提示词注入现在涵盖把指令藏在图片或音轨里的攻击。供应链涵盖被推广的模型文件并非它声称的那个文件的情况。投毒吸收了微调环节被人做手脚的情形，输出处理则涵盖助手大量生成的不安全代码。
十项风险，每项一句话
完整的条目都在 OWASP 的源文件夹里，每一项都附带例子、缓解办法和攻击场景。下表每一行写出 2026 年的编号、用大白话说明哪里会出问题、该项预防清单里排在前面的一条控制措施，以及这项风险在 2025 年的位置。
| 2026 | 风险 | 出了什么问题 | 第一个修复办法 | 2025 |
|---|---|---|---|---|
| 1 | 提示词注入 | 来自用户、文档、工具结果、图片或记忆的文字，改变了模型的行为 | 把凭据和改变状态的权限留在应用代码里，有权限的操作由真人确认 | 1 |
| 2 | 敏感信息泄露 | 机密或受监管的数据，从回答、日志、检索到的片段或旁路渠道流了出去 | 检索之前在索引查询里做授权，并且别把机密放进系统提示词 | 2 |
| 3 | 过度代理 | 因为模型拥有太多工具、权限或自由，造成破坏的操作被执行 | 提供更少、功能更窄的工具，以用户身份运行，高影响的操作要经过批准 | 6 |
| 4 | 供应链 | 模型、数据集、适配器或转换环节并不是它声称的那样 | 审查供应商，维护带签名的清单，只使用来源可验证的模型 | 3 |
| 5 | 数据与模型投毒 | 被篡改的数据或模型文件埋下后门、偏见或弱点 | 追踪数据谱系，校验新进数据，并给 RAG 划好信任边界 | 4 |
| 6 | 无限制消耗 | 不受控的推理耗尽服务或预算，或者让攻击者克隆一个模型 | 按词元计的限流、输入大小检查和硬性的支出上限 | 10 |
| 7 | 错误信息 | 一个错误但看着可信的回答被当真并据此行动 | 用最新的来源做依据，并在任何高影响操作之前先核实 | 9 |
| 8 | 隐藏上下文暴露 | 隐藏的指令、工具接口定义或策略文本被暴露或被推断出来 | 别把敏感数据放进隐藏上下文，并在模型之外执行授权 | 7，当时叫系统提示词泄露 |
| 9 | 向量与嵌入弱点 | 相似度搜索层在用户之间泄露数据，或者放进了被投毒的内容 | 在索引查询里做租户范围限定，并记录每个嵌入的来源 | 8 |
| 10 | 不当输出处理 | 模型输出没经过校验或编码，就进入了另一个组件 | 把模型当成任何其他用户：校验并编码它的输出，使用参数化查询 | 5 |
一个场景，三种修复：被劫持的邮件助手
OWASP 的过度代理条目讲了一个邮件助手的场景。它有一个读取用户邮箱的工具，用来总结收到的邮件。开发者选的这个工具，同时也能发送邮件。攻击者给用户发来一封带间接注入的邮件。模型照着做了，扫描收件箱里的敏感信息，转发到了攻击者的地址。
这个故事里有两个条目交汇。精心构造的邮件是提示词注入，也就是第一项。损失则来自助手被允许做的事，这就是过度代理。OWASP 还列出了对发送邮件的接口限流，作为减轻损失的办法。它给出三种避免这个问题的办法，每一种去掉过度代理的三个根源之一：
- 去掉过多的功能：改用只读邮件的工具。
- 去掉过多的权限：用只读范围的 OAuth 会话，登录用户的邮件服务。
- 去掉过多的自主权：要求用户审阅工具起草的每一封邮件，并亲自按下发送。
OWASP LLM03:2026 的场景 1，经过转述，2026 年 11 月 6 日阅读。
把清单变成你应用的检查表
从你自己的数据流出发，而不是从清单出发。OWASP 的前言按模型是什么来划分工作。当模型是你应用里的一个组件时，风险归这份清单管。当模型成了行动者，它有可调用的工具、跨会话携带的记忆，以及会在下游引发的后果，风险就转到 OWASP 的智能体十大风险，前言说两份都要读。
版本之间的编号变了，工具也有滞后。过度代理在 2025 年是 LLM06，现在是 LLM03。Promptfoo 的 OWASP 页面，在 2026 年 11 月 6 日读到时，仍在描述 2025 年版，它的简写，比如 owasp:llm:06，沿用的是 2025 年的编号。拿扫描器或报告的结果对照这张表之前，先确认它指的是哪一年的版本。
- 把你的应用画在一页纸上：输入、模型、它能调用的工具、输出去哪里，以及它存了什么。
- 把十项逐一过一遍，各标上适用、不适用或不确定，并写一句理由。没有工具的应用用不上代理那一项，没有向量库的就跳过嵌入那一项。
- 对每一个适用的条目，把表里的第一个修复办法抄进你的待办清单，并写明这条控制措施将落在哪个文件或服务里。
- 挑出你最担心的三项，打开完整条目读它们的攻击场景。每个条目都列了场景和具体的控制措施。
- 对应用运行红队工具，把每个发现对应到一个条目，下一课会演示。
常见错误
- 把旧文章或扫描器预设里 2025 年版的编号，和 2026 年版的清单放在一起用。
- 把十项当成十个互不相干的问题。OWASP 把它们连在一起看：提示词注入是输入侧的攻破，过度代理决定这次攻破能做什么。
- 把排名当成你应用的严重程度。这个排名混合了从业者投票和事件数据，它不知道你的应用做什么。
- 因为模型厂商报告的攻击成功率很低，就把提示词注入那一项划掉。OWASP 说，防御靠架构。
- 把无限制消耗当成只是成本问题跳过。OWASP 在同一条目里还列了服务中断和模型克隆。
动手试试
- 挑一个你运行或使用的应用，把它的输入、工具和输出画在同一页上。
- 把十项都标成适用、不适用或不确定。数一数有几个不确定，每一个都是一个要回答的问题。
- 如果模型调用工具，就完整读一遍过度代理条目，如果用了检索，就读向量与嵌入那一条。
- 从表里挑一条控制措施，写下它会在你代码的哪个位置执行。
下一课：对你自己的大模型应用做红队测试
检查表告诉你该找什么。下一课对你自己的大模型应用做红队测试，演示如何用 Promptfoo、garak 和 PyRIT 攻击你自己的应用，以及怎样读它们的报告。
自测一下
2026 年版 OWASP 清单里，哪项风险升到了第三位？
查看答案
D. 过度代理 过度代理升到第三，因为投票和事件记录都表明，智能体部署正是损失集中出现的地方。
2026 年版清单怎样权衡社区投票和事件数据？
查看答案
B. 投票占四分之三，事件数据占四分之一 前言说，投票占四分之三的权重，事件数据占其余的四分之一。
在 OWASP 的被劫持邮件助手场景里，哪种修复去掉的是过多的权限？
查看答案
A. 用只读范围的 OAuth 会话登录用户的邮件服务 只读范围的 OAuth 去掉的是权限。只读的工具去掉的是功能，发送按钮去掉的是自主权。
一份扫描报告写着“LLM06 Excessive Agency”。你首先该核对什么？
查看答案
C. 报告依据的是哪一年的版本 过度代理在 2025 年是 LLM06，在 2026 年是 LLM03，而 Promptfoo 的 OWASP 页面仍沿用 2025 年的编号。
常见问题
OWASP 大模型十大风险是什么？
这是一份由社区写成的排名，列出对使用大语言模型的应用最重要的安全风险。2026 年版用真实事件的记录来检验从业者的投票，每个条目都附有例子、缓解办法和攻击场景。
2025 年版的 OWASP 大模型十大风险还有效吗？
OWASP 把它列为已归档的版本，并把 2026 年版标为当前版本。较早的文章和工具文档可能仍在用它的编号，比如把过度代理写成 LLM06。
OWASP 大模型十大风险由谁维护？发现错误怎么反馈？
它是 OWASP GenAI 安全项目的核心项目之一，2026 年版的源文件放在 GitHub 的 GenAI-LLM-Top10 仓库里。仓库欢迎发布之后的更正，对具体的错误、失效链接和与正式发布文本不一致的地方，指向一份勘误表单。
应该先修 OWASP 里的哪一项风险？
从上往下，修你的应用碰得到的条目。如果模型会调用工具，就尽早处理过度代理，因为 OWASP 说，是它让一次注入在聊天窗口之外产生后果。
OWASP 这份清单涵盖 RAG 吗？
涵盖，分散在好几个条目里。提示词注入把 RAG 资料库投毒列为一个场景。敏感信息泄露说要在索引查询里做授权。数据与模型投毒要求给 RAG 划好信任边界。向量与嵌入弱点管相似度搜索层，并要求在索引查询里做租户范围限定。
资料来源
- GitHub: OWASP GenAI LLM Top 10 2026, source folder https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/tree/main/2026/final
- GitHub: OWASP GenAI LLM Top 10 2026, preface https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM00_Preface.md
- GitHub: OWASP GenAI LLM Top 10 2026, LLM01 Prompt Injection https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM01_PromptInjection.md
- GitHub: OWASP GenAI LLM Top 10 2026, LLM03 Excessive Agency https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM03_ExcessiveAgency.md
- GitHub: OWASP GenAI LLM Top 10 repository README https://github.com/GenAI-Security-Project/GenAI-LLM-Top10
- GitHub: OWASP GenAI LLM Top 10, 2025 folder https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/tree/main/2025
- GitHub: OWASP Top 10 for LLM applications repository (legacy notice) https://github.com/OWASP/www-project-top-10-for-large-language-model-applications
- GitHub: Promptfoo, OWASP LLM Top 10 page https://github.com/promptfoo/promptfoo/blob/main/site/docs/red-team/owasp-llm-top-10.md