# 大模型应用的 OWASP 十大风险：每项一句话，附第一个修复办法 > OWASP 大模型应用十大风险，是一份排好名次的清单，列出基于语言模型的应用里最大的十类安全风险。2026 年版发布于 2026 年 8 月 4 日，提示词注入仍排第一，过度代理升到第三。每一项都写明风险和该采取的控制措施。你可以把这份清单当成自己应用的检查表。 Mindket 编辑部 · 发布于 2026-11-06 · 更新于 2026-11-06 · https://mindket.com/cn/learn/ai-security/owasp-llm-top-10 ## 要点 - 拿报告或扫描器的结果去对照编号之前，先确认它用的是哪一年的版本。 - 给自己的应用，把十项逐一标成适用、不适用或不确定。 - 先削减工具、权限和自主权，因为它们决定了其他任何缺陷会造成多大损失。 - 模型开始自己行动之后，再加上 OWASP 的智能体十大风险。 ## 2026 年版变了什么 以前几版清单靠的是投票。[2026 年版](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM00_Preface.md)把投票结果拿去和真实出过的问题对照。它收集了来自公开漏洞数据库和一个 AI 危害数据库的 7,714 起事件，用分类器整理出其中细节足够的 6,639 起。投票仍占四分之三的权重，事件数据占其余的四分之一。 两者在一些有价值的地方并不一致。按原始事件记录来排，提示词注入会掉出前十。OWASP 把这解读为防御起了作用：各团队全力对付注入，所以公开数据库里的干净利用案例更少。它仍然排第一。错误信息则相反。投票的人把它放在靠后的位置，事件记录把它放在靠前的位置，最后它落在中间，排第七。 这次的顺序变动比往年都大。过度代理升到第三，因为投票和事件记录都表明，智能体部署正是损失集中出现的地方。无限制消耗上升了四位。不当输出处理跌得最多，从第五掉到第十。原来的系统提示词泄露，现在叫隐藏上下文暴露，上一课讲过。 还有几项是把范围扩大了，而不是新增条目。提示词注入现在涵盖把指令藏在图片或音轨里的攻击。供应链涵盖被推广的模型文件并非它声称的那个文件的情况。投毒吸收了微调环节被人做手脚的情形，输出处理则涵盖助手大量生成的不安全代码。 **2026 年版是怎么做出来的** - **7,714** 起事件，收集自公开漏洞数据库和一个 AI 危害数据库 (来源：[GitHub：OWASP GenAI LLM Top 10 2026，前言](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM00_Preface.md), 2026-11-06 查阅) - **6,639** 起细节足够，可以分类 (来源：[GitHub：OWASP GenAI LLM Top 10 2026，前言](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM00_Preface.md), 2026-11-06 查阅) - **75%** 的权重给了社区投票 (来源：[GitHub：OWASP GenAI LLM Top 10 2026，前言](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM00_Preface.md), 2026-11-06 查阅) - **25%** 给了事件数据 (来源：[GitHub：OWASP GenAI LLM Top 10 2026，前言](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM00_Preface.md), 2026-11-06 查阅) ## 十项风险，每项一句话 完整的条目都在 OWASP 的[源文件夹](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/tree/main/2026/final)里，每一项都附带例子、缓解办法和攻击场景。下表每一行写出 2026 年的编号、用大白话说明哪里会出问题、该项预防清单里排在前面的一条控制措施，以及这项风险在 2025 年的位置。 | 2026 | 风险 | 出了什么问题 | 第一个修复办法 | 2025 | | --- | --- | --- | --- | --- | | 1 | 提示词注入 | 来自用户、文档、工具结果、图片或记忆的文字，改变了模型的行为 | 把凭据和改变状态的权限留在应用代码里，有权限的操作由真人确认 | 1 | | 2 | 敏感信息泄露 | 机密或受监管的数据，从回答、日志、检索到的片段或旁路渠道流了出去 | 检索之前在索引查询里做授权，并且别把机密放进系统提示词 | 2 | | 3 | 过度代理 | 因为模型拥有太多工具、权限或自由，造成破坏的操作被执行 | 提供更少、功能更窄的工具，以用户身份运行，高影响的操作要经过批准 | 6 | | 4 | 供应链 | 模型、数据集、适配器或转换环节并不是它声称的那样 | 审查供应商，维护带签名的清单，只使用来源可验证的模型 | 3 | | 5 | 数据与模型投毒 | 被篡改的数据或模型文件埋下后门、偏见或弱点 | 追踪数据谱系，校验新进数据，并给 RAG 划好信任边界 | 4 | | 6 | 无限制消耗 | 不受控的推理耗尽服务或预算，或者让攻击者克隆一个模型 | 按词元计的限流、输入大小检查和硬性的支出上限 | 10 | | 7 | 错误信息 | 一个错误但看着可信的回答被当真并据此行动 | 用最新的来源做依据，并在任何高影响操作之前先核实 | 9 | | 8 | 隐藏上下文暴露 | 隐藏的指令、工具接口定义或策略文本被暴露或被推断出来 | 别把敏感数据放进隐藏上下文，并在模型之外执行授权 | 7，当时叫系统提示词泄露 | | 9 | 向量与嵌入弱点 | 相似度搜索层在用户之间泄露数据，或者放进了被投毒的内容 | 在索引查询里做租户范围限定，并记录每个嵌入的来源 | 8 | | 10 | 不当输出处理 | 模型输出没经过校验或编码，就进入了另一个组件 | 把模型当成任何其他用户：校验并编码它的输出，使用参数化查询 | 5 | ## 一个场景，三种修复：被劫持的邮件助手 OWASP 的[过度代理条目](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM03_ExcessiveAgency.md)讲了一个邮件助手的场景。它有一个读取用户邮箱的工具，用来总结收到的邮件。开发者选的这个工具，同时也能发送邮件。攻击者给用户发来一封带间接注入的邮件。模型照着做了，扫描收件箱里的敏感信息，转发到了攻击者的地址。 这个故事里有两个条目交汇。精心构造的邮件是提示词注入，也就是第一项。损失则来自助手被允许做的事，这就是过度代理。OWASP 还列出了对发送邮件的接口限流，作为减轻损失的办法。它给出三种避免这个问题的办法，每一种去掉过度代理的三个根源之一： - 去掉过多的功能：改用只读邮件的工具。 - 去掉过多的权限：用只读范围的 OAuth 会话，登录用户的邮件服务。 - 去掉过多的自主权：要求用户审阅工具起草的每一封邮件，并亲自按下发送。 > OWASP LLM03:2026 的场景 1，经过转述，2026 年 11 月 6 日阅读。 ## 把清单变成你应用的检查表 从你自己的数据流出发，而不是从清单出发。OWASP 的前言按模型是什么来划分工作。当模型是你应用里的一个组件时，风险归这份清单管。当模型成了行动者，它有可调用的工具、跨会话携带的记忆，以及会在下游引发的后果，风险就转到 OWASP 的智能体十大风险，前言说两份都要读。 版本之间的编号变了，工具也有滞后。过度代理在 2025 年是 LLM06，现在是 LLM03。Promptfoo 的 [OWASP 页面](https://github.com/promptfoo/promptfoo/blob/main/site/docs/red-team/owasp-llm-top-10.md)，在 2026 年 11 月 6 日读到时，仍在描述 2025 年版，它的简写，比如 `owasp:llm:06`，沿用的是 2025 年的编号。拿扫描器或报告的结果对照这张表之前，先确认它指的是哪一年的版本。 1. 把你的应用画在一页纸上：输入、模型、它能调用的工具、输出去哪里，以及它存了什么。 2. 把十项逐一过一遍，各标上适用、不适用或不确定，并写一句理由。没有工具的应用用不上代理那一项，没有向量库的就跳过嵌入那一项。 3. 对每一个适用的条目，把表里的第一个修复办法抄进你的待办清单，并写明这条控制措施将落在哪个文件或服务里。 4. 挑出你最担心的三项，打开完整条目读它们的攻击场景。每个条目都列了场景和具体的控制措施。 5. 对应用运行红队工具，把每个发现对应到一个条目，下一课会演示。 ## 常见错误 - 把旧文章或扫描器预设里 2025 年版的编号，和 2026 年版的清单放在一起用。 - 把十项当成十个互不相干的问题。OWASP 把它们连在一起看：提示词注入是输入侧的攻破，过度代理决定这次攻破能做什么。 - 把排名当成你应用的严重程度。这个排名混合了从业者投票和事件数据，它不知道你的应用做什么。 - 因为模型厂商报告的攻击成功率很低，就把提示词注入那一项划掉。OWASP 说，防御靠架构。 - 把无限制消耗当成只是成本问题跳过。OWASP 在同一条目里还列了服务中断和模型克隆。 ## 动手试试 - 挑一个你运行或使用的应用，把它的输入、工具和输出画在同一页上。 - 把十项都标成适用、不适用或不确定。数一数有几个不确定，每一个都是一个要回答的问题。 - 如果模型调用工具，就完整读一遍过度代理条目，如果用了检索，就读向量与嵌入那一条。 - 从表里挑一条控制措施，写下它会在你代码的哪个位置执行。 ## 下一课：对你自己的大模型应用做红队测试 检查表告诉你该找什么。下一课[对你自己的大模型应用做红队测试](https://mindket.com/cn/learn/ai-security/red-team-llm-app)，演示如何用 Promptfoo、garak 和 PyRIT 攻击你自己的应用，以及怎样读它们的报告。 ## 自测一下 1. 2026 年版 OWASP 清单里，哪项风险升到了第三位？ A. 错误信息 B. 供应链 C. 无限制消耗 D. 过度代理 答案：D。 过度代理升到第三，因为投票和事件记录都表明，智能体部署正是损失集中出现的地方。 2. 2026 年版清单怎样权衡社区投票和事件数据？ A. 各占一半 B. 投票占四分之三，事件数据占四分之一 C. 全部按事件数据 D. 事件数据只用来打破平局 答案：B。 前言说，投票占四分之三的权重，事件数据占其余的四分之一。 3. 在 OWASP 的被劫持邮件助手场景里，哪种修复去掉的是过多的权限？ A. 用只读范围的 OAuth 会话登录用户的邮件服务 B. 改用只读邮件的工具 C. 要求用户对每份草稿按下发送 D. 把系统提示词写得更长 答案：A。 只读范围的 OAuth 去掉的是权限。只读的工具去掉的是功能，发送按钮去掉的是自主权。 4. 一份扫描报告写着“LLM06 Excessive Agency”。你首先该核对什么？ A. 什么都不用，编号从不变 B. 厂商是不是 OWASP C. 报告依据的是哪一年的版本 D. 模型是不是开源的 答案：C。 过度代理在 2025 年是 LLM06，在 2026 年是 LLM03，而 Promptfoo 的 OWASP 页面仍沿用 2025 年的编号。 ## 常见问题 ### OWASP 大模型十大风险是什么？ 这是一份由社区写成的排名，列出对使用大语言模型的应用最重要的安全风险。2026 年版用真实事件的记录来检验从业者的投票，每个条目都附有例子、缓解办法和攻击场景。 ### 2025 年版的 OWASP 大模型十大风险还有效吗？ OWASP 把它列为已归档的版本，并把 2026 年版标为当前版本。较早的文章和工具文档可能仍在用它的编号，比如把过度代理写成 LLM06。 ### OWASP 大模型十大风险由谁维护？发现错误怎么反馈？ 它是 OWASP GenAI 安全项目的核心项目之一，2026 年版的源文件放在 GitHub 的 GenAI-LLM-Top10 仓库里。仓库欢迎发布之后的更正，对具体的错误、失效链接和与正式发布文本不一致的地方，指向一份勘误表单。 ### 应该先修 OWASP 里的哪一项风险？ 从上往下，修你的应用碰得到的条目。如果模型会调用工具，就尽早处理过度代理，因为 OWASP 说，是它让一次注入在聊天窗口之外产生后果。 ### OWASP 这份清单涵盖 RAG 吗？ 涵盖，分散在好几个条目里。提示词注入把 RAG 资料库投毒列为一个场景。敏感信息泄露说要在索引查询里做授权。数据与模型投毒要求给 RAG 划好信任边界。向量与嵌入弱点管相似度搜索层，并要求在索引查询里做租户范围限定。 ## 资料来源 - [GitHub：OWASP GenAI LLM Top 10 2026，源文件夹](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/tree/main/2026/final) (2026-11-06 查阅) - [GitHub：OWASP GenAI LLM Top 10 2026，前言](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM00_Preface.md) (2026-11-06 查阅) - [GitHub：OWASP GenAI LLM Top 10 2026，LLM01 提示词注入](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM01_PromptInjection.md) (2026-11-06 查阅) - [GitHub：OWASP GenAI LLM Top 10 2026，LLM03 过度代理](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/blob/main/2026/final/LLM03_ExcessiveAgency.md) (2026-11-06 查阅) - [GitHub：OWASP GenAI LLM Top 10 仓库说明](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10) (2026-11-06 查阅) - [GitHub：OWASP GenAI LLM Top 10，2025 文件夹](https://github.com/GenAI-Security-Project/GenAI-LLM-Top10/tree/main/2025) (2026-11-06 查阅) - [GitHub：OWASP 大模型应用十大风险旧仓库（旧版说明）](https://github.com/OWASP/www-project-top-10-for-large-language-model-applications) (2026-11-06 查阅) - [GitHub：Promptfoo，OWASP LLM Top 10 页面](https://github.com/promptfoo/promptfoo/blob/main/site/docs/red-team/owasp-llm-top-10.md) (2026-11-06 查阅) [智能体护栏](https://mindket.com/cn/learn/harness-engineering/agent-guardrails)