OWASP hat nun zwei KI-Top-10-Listen: Was hat sich geändert?
Als OWASP im Jahr 2023 die „Top 10“ für LLM-Anwendungen vorstellte, war das genau das, was die Branche brauchte. Plötzlich hatten wir eine gemeinsame Sprache für KI-Risiken.
- Sofortige Injektion
- Offenlegung vertraulicher Informationen
- Unsichere Verarbeitung von Ausgabe
- Verfälschung von Trainingsdaten
- Übermäßiges Vertrauen in Modellergebnisse
Das waren keine abstrakten Ängste mehr – sie wurden kategorisiert, benannt und in konkrete Maßnahmen umgesetzt.
Damals waren die meisten „KI-Anwendungen“ genau das: Anwendungen, die auf einem großen Sprachmodell aufbauten. Dazu gehörten eine Chat-Oberfläche, ein Zusammenfassungswerkzeug, ein Inhaltsgenerator und vielleicht noch eine angehängte Abruf-Pipeline. Das Modell erzeugte Text. Ein Mensch las ihn. Die Auswirkungen beschränkten sich größtenteils auf den Informationsbereich. Die „LLM Top 10“ wurde für diese Welt entwickelt, aber wir leben nicht mehr in dieser Welt.
Wichtigste Erkenntnisse
- OWASP unterhält nun zwei separate KI-Frameworks: Die „LLM Top 10“ sichern die Modellebene, und die „Agentic Top 10“ sichern die Ausführungsebene.
- Die „LLM Top 10“ schützen die Integrität der Argumentation, während die „Agentic Top 10“ regeln, was ein autonomes System tun darf, sobald die Ausgabe in eine Handlung umgesetzt wird.
- Die Berechtigungen bilden die Trennlinie, da ein eigenständiges LLM lediglich Vorschläge generiert, während ein Agent mit Anmeldedaten, API-Schlüsseln und Systemberechtigungen arbeitet, die ein Angreifer übernehmen kann.
- Moderne KI-Systeme benötigen beide Ansätze, da agentenbasierte Systeme neue Risiken wie „Memory Poisoning“, „Cross-Session-Contamination“ und dauerhafte böswillige Ziele mit sich bringen, die modellzentrierte Kategorien nicht erfassen.
Das OWASP-Framework für agentenbasierte Anwendungen
Im Dezember 2025 veröffentlichte OWASP ein zweites Rahmenwerk: die „Top 10 für agentische Anwendungen“ (2026). Dabei wurde diese Liste weder in die LLM-Liste integriert, noch wurden lediglich einige neue Kategorien hinzugefügt. Es wurde ein völlig eigenständiges Dokument erstellt. Genau diese Entscheidung ist der springende Punkt: Die LLM-Top-10 sichern die Modellebene, während die „Top 10 für agentische Anwendungen“ die Ausführungsebene absichern. Es handelt sich um zwei unterschiedliche Dinge.
Bei den „LLM Top 10“ geht es um die Integrität der Schlussfolgerungen. Kann das Modell durch das Einfügen von Prompts manipuliert werden? Kann es durch die Generierung von Inhalten Geheimnisse preisgeben? Kann es Ergebnisse liefern, die von nachgelagerten Systemen falsch verarbeitet werden? Dürfen wir seinen Aussagen übermäßig vertrauen? Das sind reale Risiken, und sie sind nach wie vor vorhanden. Jeder Agent enthält nach wie vor ein LLM. Jedes autonome System weist nach wie vor diese Schwachstellen auf.
Ein Agent ist jedoch nicht nur ein Modell, das spricht. Ein Agent plant, ruft Tools auf und liest sowie schreibt Daten. Er nutzt Anmeldedaten, speichert Daten dauerhaft, führt Workflows aus und arbeitet systemübergreifend. In diesem Szenario, in dem die Ausgabe zur Aktion wird, erweitert sich das Bedrohungsmodell.
Prompt-Injection ist ein perfektes Beispiel dafür. In einer einfachen LLM-Anwendung kann Prompt-Injection dazu führen, dass das Modell schädliche oder irreführende Texte erzeugt. Das ist zwar schwerwiegend, aber begrenzt. In einem agentenbasierten System kann Prompt-Injection einen Arbeitsablauf umleiten, unbefugte API-Aufrufe auslösen, Daten über die Nutzung von Tools abziehen oder bösartige Anweisungen für zukünftige Aufgaben im Speicher verankern. Die zugrunde liegende Schwachstelle ist dieselbe, die Folgen jedoch nicht.
Die „LLM Top 10“ wurden für Systeme verfasst, bei denen die Ausgabe das Ende der Kette darstellte. Die „Agentic Top 10“ gibt es, weil die Ausgabe nun den Anfang einer Kette bildet. Die Entscheidungsbefugnis bildet die Trennlinie. Ein eigenständiges LLM verfügt über keine Entscheidungsbefugnis. Es generiert lediglich Vorschläge. Ein Agent läuft häufig mit Dienstkonten, API-Schlüsseln, Datenbankzugriff und internen Systemberechtigungen. Wird er kompromittiert, erhält der Angreifer nicht nur Text. Er übernimmt auch die übertragenen Befugnisse.
Das neue Problem: Identität, Zugriffskontrolle und Durchsetzung zur Laufzeit
Das ist kein Problem mehr, das sich auf das Sicherheitsmodell beschränkt. Es handelt sich vielmehr um ein Problem der Identitäts- und Zugriffskontrolle sowie der Durchsetzung zur Laufzeit, das von einer probabilistischen Entscheidungsengine gesteuert wird.
Persistenz ist eine weitere Schwachstelle. Herkömmliche LLM-Interaktionen sind weitgehend zustandslos. Agentebasierte Systeme behalten ihr Gedächtnis über verschiedene Schritte und Sitzungen hinweg bei. Sie speichern Kontext, rufen Dokumente ab und sammeln Zustandsdaten. Das schafft neue Risiken: Memory Poisoning, sitzungsübergreifende Kontamination, dauerhafte böswillige Ziele, um nur einige zu nennen. Diese lassen sich nicht eindeutig in modellzentrierten Kategorien erfassen, da sie aus lang andauernden Ausführungsprozessen entstehen und nicht aus einzelnen Prompt-Antwort-Interaktionen. Die Zeit selbst wird zu einer Angriffsfläche. Die „LLM Top 10“ bewertet größtenteils einzelne Interaktionen. Agentebasierte Systeme arbeiten über Stunden, Tage, manchmal sogar kontinuierlich. Sie wiederholen Aufgaben und eskalieren, wenn sie blockiert werden. Sie verketten Entscheidungen. Die Sicherheit kann sich nicht mehr darauf beschränken, nur Ein- und Ausgänge zu überprüfen. Sie muss das Verhalten über ganze Aktionssequenzen hinweg überwachen.
Die beiden OWASP-Frameworks sind unverzichtbar
Wenn Sie einen Chatbot entwickeln, der Zusammenfassungen erstellt, reichen die „LLM Top 10“ möglicherweise aus. Sie konzentrieren sich dabei auf Abwehrmaßnahmen gegen Prompt-Injection, die Filterung der Ausgabe, Kontrollen beim Umgang mit Daten sowie die Überprüfung der Lieferkette. Das ist angemessen.
Wenn Sie ein KI-System einsetzen, das E-Mails versenden, Geld überweisen, die Infrastruktur anpassen, Tickets erstellen oder autonom auf Unternehmenssysteme zugreifen kann, gehören Sie zu den Top 10 von Agentic. Der Fehler besteht darin, anzunehmen, dass das eine das andere ersetzt.
Die „Agentic Top 10“ bauen auf den „LLM Top 10“ auf. Jeder Agent übernimmt das Modellrisiko, aber nicht jede Modellintegration birgt ein Ausführungsrisiko. Stellen Sie sich das als zwei Schichten desselben Stacks vor. Die LLM-Top-10 schützt die Kognitionsschicht: wie das System denkt, was es preisgibt und wie es manipuliert werden kann. Die Agentic-Top-10 schützt die Handlungsschicht: was das System tun darf, wie Handlungen eingeschränkt werden, wie Autorität durchgesetzt wird und wie das Verhalten im Zeitverlauf beobachtet wird.
Moderne KI-Systeme benötigen beides, da moderne KI-Systeme sowohl denken als auch handeln.
OWASP hat beide Listen erstellt, weil sich die Architektur geändert hat. Und wenn sich die Architektur ändert, ändert sich auch das Bedrohungsmodell. Wenn Ihre Sicherheitsstrategie dieser Trennung noch nicht Rechnung trägt, verteidigen Sie weiterhin einen Chatbot, während Sie gleichzeitig einen autonomen Operator einsetzen. In dieser Lücke liegt das eigentliche Risiko.
Häufig gestellte Fragen
Die im Dezember 2025 von OWASP veröffentlichte „Top 10 für agentenbasierte Anwendungen (2026)“ ist ein eigenständiges Rahmenwerk zur Absicherung der Ausführungsschicht autonomer KI-Systeme. Anstatt in die LLM-Liste integriert zu werden, befasst es sich mit Risiken, die entstehen, wenn Agenten planen, Tools aufrufen, Zugangsdaten verwenden und systemübergreifend agieren. Der Schwerpunkt liegt dabei auf Identität, Zugriffskontrolle und Durchsetzung zur Laufzeit und nicht allein auf dem Modellverhalten.
Die „LLM Top 10“ schützen die Kognitionsschicht und befassen sich damit, wie ein System denkt, was es preisgibt und wie es manipuliert werden kann. Die „Agentic Top 10“ schützen die Handlungsschicht und befassen sich damit, was ein System tun darf, wie Handlungen eingeschränkt werden und wie Autorität durchgesetzt wird. Kurz gesagt: Die einen sichern das Denken, die anderen das Handeln.
OWASP hat zwei Listen erstellt, da sich die Architektur geändert hat – und wenn sich die Architektur ändert, ändert sich auch das Bedrohungsmodell. Ein eigenständiges LLM generiert Text, wobei die Ausgabe das Ende der Kette darstellt. Ein Agent setzt die Ausgabe in Aktionen um und läuft dabei mit Dienstkonten und Systemberechtigungen. Da es sich hierbei um grundlegend unterschiedliche Sicherheitsprobleme handelt, ergänzt die „Agentic Top 10“ die „LLM Top 10“, anstatt sie zu ersetzen.
Das hängt von Ihrem System ab. Wenn Sie einen Chatbot entwickeln, der Zusammenfassungen erstellt, reichen möglicherweise die „LLM Top 10“ aus, wobei der Schwerpunkt auf Abwehrmaßnahmen gegen Prompt-Injection und der Filterung der Ausgabe liegt. Wenn Sie hingegen ein KI-System einsetzen, das E-Mails versenden, Geldüberweisungen vornehmen oder autonom auf Unternehmenssysteme zugreifen kann, fallen Sie in den Bereich der „Agentic Top 10“. Moderne KI-Systeme, die sowohl denken als auch handeln, erfordern beide Rahmenwerke.
