排名的变化背后，是防御范式的切换
如果你上一次认真看 OWASP LLM Top 10 还是 2025 版，那 2026 版的变化值得重新读一遍。
8 月 3 日正式发布、9 月在 Black Hat 上全面亮相的 OWASP GenAI LLM Top 10 2026，有一个和以往所有版本都不一样的地方：它第一次不是纯靠专家投票排出来的。项目组收集了 7714 起真实 AI 安全事件，其中 6639 起信息足够完整可以分类，然后用这部分数据以 25% 的权重和专家投票（75%）混合打分。
这个方法论上的变化很关键。它意味着：名单不再只反映"业内认为什么风险最重要"，而是开始反映"真实世界里什么风险正在造成伤害"。
发布后 48 小时下载量破万，社区成员突破 3 万——这些数字本身不重要，重要的是十项风险里有八项位次发生了变化。
过度代理跃居第三：智能体时代的核心矛盾
LLM03 过度代理（Excessive Agency） 从去年的第六位直接跳到第三，是整个榜单上幅度最大的上升。
这件事其实不需要太多解释。去年大家还在讨论"给 LLM 加插件会不会有风险"，今年已经是"智能体直接调用生产环境工具、操作数据库、发邮件、改配置"了。当一个 AI 系统不只是回答问题，而是能真正"做事"的时候，权限边界就从理论问题变成了一线事故。
OWASP 项目联合主席 Steve Wilson 在发布时说得很直白："AI 正在从生成内容的模型，演进为可以自主行动的智能体。安全必须跟着演进——假设 AI 有时会失败或者被欺骗，然后在这些系统能访问什么、决定什么、做什么周围加上可执行的控制。"
这句话里有两个值得停下来想的点。
第一，"假设 AI 有时会失败"。这和传统安全里的"默认不安全、纵深防御"是同一个逻辑，但在 AI 领域很多团队还没建立这种思维。他们还在试图通过更好的提示词、更强的模型来让 AI"永不犯错"。但真实事故数据告诉我们：提示注入永远有绕过的方式，模型幻觉永远无法完全消除——真正可靠的防线不在模型内部，而在模型外面的权限控制上。
第二，"可执行的控制"。这也是为什么 OWASP 同期推出了 Agent Control Standard（ACS），一个专门针对智能体运行时权限的标准。你可以把它理解为 AI 版的 IAM：声明式的策略、策略执行点、智能体物料清单（AgBOM），目标是让智能体在生产环境里的每一个动作都能被追踪、被限制、被审计。
Palo Alto Networks 产品副总裁 Jaimin Patel 的评论很准确："最新版 Top 10 展示了 AI 安全从理论攻击到真实事件的演进——智能体能接触到每家公司的皇冠上的宝石。"
系统提示泄露"退役"：攻击面比你想的大得多
LLM08 隐藏上下文暴露（Hidden Context Exposure） 取代了去年的"系统提示泄露"，但这不是简单的改名。
旧的框架里，大家关注的是"系统提示词会不会被偷出来"。很多团队甚至把系统提示当作密钥一样保护。但 OWASP 这一版明确说了：系统提示从来就不应该被当作秘密来用，也不应该被用作安全控制。
真正的问题比这个大得多。
在 RAG 系统里，检索出来的文档可能包含内部策略、客户数据、其他用户的历史对话。在智能体系统里，工具的返回结果、记忆库的内容、应用的内部状态——这些都会被拼接进上下文窗口，而用户本不该看到它们。只要任何一个环节出问题，这些内容都可能被提取、被推断、被重构。
换句话说，以前你只需要守住一扇门（系统提示），现在你需要守住整个上下文窗口。而上下文窗口里塞的东西越多——RAG 文档、历史对话、工具 schema、业务规则——攻击面就越大。
这对安全架构的影响是直接的：如果你之前的机密性控制是围绕"保护系统提示"设计的，那现在已经不够用了。向量索引、对话记忆、工具返回值，每一个都可能成为泄露通道，而且泄露的内容可能比系统提示敏感得多。
其他几个值得注意的位次变化
LLM06 无节制消耗（Unbounded Consumption） 从第十升到第六。这个风险有个更形象的说法："钱包拒绝服务"（Denial of Wallet）。当智能体可以自动触发多轮调用、扩展搜索、调用付费工具的时候，一次攻击可能不是把你的服务打挂，而是把你的账单打爆。Forcepoint 的研究人员曾经模拟过一个无限制智能体的成本爆炸，调用链一层接一层，费用完全没有上限。
LLM07 错误信息（Misinformation） 从第九升到第七。这是整个榜单上专家判断和真实事件数据分歧最大的一项——投票把它排在靠后，但事故数据把它推到了很靠前的位置。原因不难理解：在人类审阅的场景里，模型胡说八道只是 annoyance；但在自动化工作流里，一个自信满满的错误答案可能直接触发错误操作，而且没有人在中间踩刹车。智能体系统里，这通常表现为"错误的状态或推理被下游组件消费"——流畅的错误回答，在几步之外变成了错误的行动。
LLM10 不当输出处理（Improper Output Handling） 从第五跌到第十。不是因为这个风险变小了，而是因为它的防御方法相对成熟——输出编码、输入校验，这些都是传统 Web 安全玩了二十年的东西，团队已经知道该怎么做了。
前两名没变，但原因不同
LLM01 提示注入 和 LLM02 敏感信息泄露 守住了前两位，但守住的原因完全不一样。
提示注入排第一，是因为它是一切其他攻击的入口。只要你的系统会读取外部内容——网页、邮件、文档、用户输入——提示注入就永远是第一道坎。有趣的是，如果纯按真实事故数量排序，提示注入甚至排不进前十——OWASP 项目组认为这恰恰说明防御是有效的，团队确实在和这个风险对抗。
敏感信息泄露排第二，则是因为它几乎从定义上就是 AI 系统的"本职工作"带来的副作用。AI 系统本来就是用来处理和生成信息的，如果没有明确的边界和分类，它泄露敏感数据不是因为被攻击了，而是因为它在正常工作——用了没人标记为禁区的数据。
这也是为什么很多数据泄露事件的根因追溯到最后，都不是什么高深的技术漏洞，而是"我们没想过这个数据不能让模型看到"。
对企业的实际意义
如果你的团队还在用 2025 版的优先级在做 AI 安全，那有几件事需要重新评估：
第一，智能体权限管控要提到议事日程的前列了。 过度代理升到第三不是因为它变多了——它一直都在——而是因为越来越多企业开始把 AI 接入真实业务系统，权限问题从理论变成了实际威胁。最小权限、工具级授权、每次调用的鉴权，这些传统 IAM 的概念需要平移到 AI 智能体上。
第二，不要把系统提示当防线。 隐藏上下文暴露这个新分类的核心信息是：假设上下文里的非用户内容迟早会被发现，重要的是它泄露出去之后会造成多大损害。如果泄露了系统提示就等于泄露了整个系统的安全逻辑，那你的系统逻辑本身就有问题。
第三，建立 AI 事故跟踪机制。 2026 版最大的进步就是引入了真实事件数据，这说明行业正在从"靠经验判断"走向"靠数据决策"。你的团队也应该做同样的事：记录每一起 AI 相关的安全事件，不管多小，积累足够的数据之后才能知道自己真正的风险在哪里。
OWASP 这版更新不是一次常规的年度刷新。它标志着 AI 安全的关注点正在从"模型会说什么"转向"系统能做什么"，从提示词层面的攻防，转向运行时的权限控制和行为管控。
这个转向才刚刚开始。Top 10 只是路标，真正的路还要靠每个团队自己走出来。
参考来源： - OWASP GenAI Security Project 官方公告 - OWASP GenAI LLM Top 10 2026 官方文档 - Cloud Security Alliance 研究笔记 - Respan AI 版本对比分析 - Forcepoint 数据安全视角解读