8月6日、Cybersecurity Newsが「OWASP Releases GenAI LLM Top 10 2026 for Building and Securing Modern AI Apps」と題した記事を公開した。
「モデルを騙されないようにする」発想を捨てろ
OWASPがLLMアプリケーション向けのセキュリティガイドライン最新版「OWASP Top 10 for LLM Applications 2026」を公開した。
本ガイドのプロジェクトリードであるSteve WilsonとRock Lambrosが提示するコア設計哲学は明確だ。「LLMを騙されない設計にしようとするのではなく、モデルが侵害されたときのダメージを封じ込められる、周辺アーキテクチャを堅牢にせよ」というものだ。
企業がLLMをカスタマーサポート、開発ツール、生産性スイート、自律エージェントワークフローに積極的に組み込む中、この発想の転換は実用上の重要性が高い。
データ駆動のランキング改定
今回の2026版は、従来版と比べて根拠が明確になっている。公開脆弱性データベースとAIハームリポジトリから収集した7,714件の実際のAI関連セキュリティインシデント（うち6,639件が分類可能な詳細を含む）に基づいている。
ランキングの重みづけは**実践者コミュニティの投票が約75%、インシデントデータが25%**という構成で、「認知されている脅威の深刻度」と「実際の本番環境での悪用」の乖離を調整している。
Top 10 一覧
| ID | 脆弱性名 | 主なリスク |
|---|---|---|
| LLM01 | Prompt Injection | 直接・間接のジェイルブレイク、Unicodeバイパス |
| LLM02 | Sensitive Info Disclosure | 学習データの記憶漏洩、RAGチャンクの漏洩 |
| LLM03 | Excessive Agency | ツールの自律的悪用、シェルコマンド実行 |
| LLM04 | Data and Model Poisoning | 汚染された学習データ、ファインチューニング経由の侵害 |
| LLM05 | Improper Supply Chain | 侵害されたベースモデル、安全でないシリアライゼーション |
| LLM06 | Insecure Output Handling | 未サニタイズのSQL・HTML生成によるXSS/RCE |
| LLM07 | Vector and Memory Flaws | RAG埋め込み操作、コンテキストポイズニング |
| LLM08 | Misinformation | ハルシネーションによる誤った自動処理・法的/財務判断 |
| LLM09 | Hidden Context Exposure | システムプロンプト・ポリシーロジックの外部流出 |
| LLM10 | Unbounded Consumption | コスト急増、トークン枯渇、共有クラスタのリソース枯渇 |
注目すべき順位変動
Prompt Injection（LLM01）は首位を維持している。公開エクスプロイトの数はまだ多くないが、モデルが信頼できないテキストを読み込むあらゆる入力点が攻撃面になるという構造的な理由による。直接インジェクションだけでなく、外部ドキュメントやWebページ経由で間接的に悪意ある指示を注入する「間接プロンプトインジェクション」がエージェント型システムで特に深刻視されている。
順位変動で特に目を引くのは以下の3点だ。
Excessive Agency（LLM03）が大幅に上昇した。エージェント型システムの本番インシデントが集中しており、モデルの出力がシェルコマンドを実行したり外部APIを呼び出したり、データベーストランザクションを操作するケースが急増している。LLMに過剰な権限や自律性を与えた設計が、単なる情報漏洩にとどまらず、システム全体への能動的な侵害につながるリスクを示している。
Unbounded Consumption（LLM10）は4ランク上昇。拡張思考モデルやマルチモーダル推論エンジン、共有コンピュートクラスタを標的にした可用性・財務的なサービス妨害リスクが顕在化している。大量のトークン消費を意図的に誘発することで、サービスのコスト爆発やリソース枯渇を引き起こす攻撃パターンが記録されている。
Misinformation（LLM08）も優先度が上昇した。インシデント記録から、誤りを含みながら自信を持って生成されたAI出力が自動ビジネスワークフローや不正なAPI呼び出しを引き起こすという実害が多数確認されたことが背景にある。人間によるレビューを介さず自動処理されるパイプラインでは、ハルシネーションが直接的なシステム障害や法的・財務上のリスクに直結する。
一方、Insecure Output Handling（LLM06）は10位に降下。名称が示す通り、LLMが生成したSQL・HTML・コードを実行エンジンに渡す前に適切なサニタイズが行われないことで生じるXSSやRCEのリスクを指す。問題が解決したわけではなく、入力境界でのプロンプトインジェクションやクロスパイプラインのデータ漏洩がインシデント記録を支配するようになったために相対的に順位が下がった。
エンタープライズ標準との対応表（Appendix A）
2026版の実用面での強みは、既存の企業セキュリティ標準との対応マッピングを付録（Appendix A）に収録した点にある。対応する標準は以下の通りだ。
- OWASPフレームワーク： Agentic Applications Top 10（ASI：AIエージェント・システム統合向けのOWASP脅威リスト）、GenAI Data Security 2026（DSGAI：生成AIシステムにおけるデータセキュリティ管理策をまとめたOWASPガイド）
- MITREフレームワーク： MITRE ATLAS（AIシステムへの敵対的攻撃戦術・技術の分類体系）、MITRE ATT&CK、MITRE CWE
- NIST・CSA標準： NIST AI 600-1（Generative AI Profile）、NIST AI RMF（AIリスク管理フレームワーク）、CSA AI Controls Matrix
LLMリスクを既存の脅威モデルに統合するための「橋渡しマニュアル」として機能する設計だ。
4つの即時実装推奨策
OWASPは開発チームに向けて、以下の対応を優先するよう勧告している。
- 最小エージェンシーの徹底： AIエージェントに付与する権限を制限し、重大・非可逆操作には人間の承認を必須とする
- 検索前の認可： ベクターDBやRAGパイプラインへのアクセス制御を埋め込み生成の前に実施する
- 入出力の検証： モデルのレスポンスを信頼できない入力として扱い、生成されたSQL・HTML・コードを実行エンジンに渡す前に厳格な検証を行う
- サプライチェーンの保全： サードパーティのモデルウェイト、ファインチューニングデータセット、OSSツールをシリアライゼーション脆弱性やデータポイズニングの観点で監査する
また本ガイドは、「コンポーネントとしてのLLM」と「アクターとしてのLLM」を明確に区別している。モデルにツール・永続メモリ・実行権限が付与されている場合は、本Top 10に加えてAgentic Applications Top 10（ASI）も併用するよう指示している。
詳細はOWASP Releases GenAI LLM Top 10 2026 for Building and Securing Modern AI Appsを参照していただきたい。
