OWASP estrena un Agent Control Standard junto a su top 10 de LLM 2026

El OWASP GenAI Security Project anunció un Agent Control Standard el 2 de septiembre de 2026, junto con un conjunto ampliado de recursos para su Top 10 de aplicaciones LLM de 2026. El estándar se dirige al software que actúa por su cuenta, no solo al que genera texto. Ese es justo el hueco que deja abierto la mayoría de las guías de seguridad de la IA.

OWASP es una organización sin ánimo de lucro de larga trayectoria. Sus listas top 10 se convirtieron en la lista de comprobación de seguridad por defecto para aplicaciones web. Su lista de LLM cumple el mismo papel para el software de IA.

El top 10 de 2026, por orden

Cyber Security News publicó la lista completa. La inyección de prompts sigue en el número uno.

Puesto	Riesgo
LLM01	Inyección de prompts
LLM02	Divulgación de información sensible
LLM03	Agencia excesiva
LLM04	Envenenamiento de datos y del modelo
LLM05	Cadena de suministro deficiente
LLM06	Tratamiento inseguro de las salidas
LLM07	Fallos de vectores y memoria
LLM08	Desinformación
LLM09	Exposición de contexto oculto
LLM10	Consumo sin límites

Una entrada cambió de nombre. Según Cyber Security News, System Prompt Leakage se renombró y se amplió como Hidden Context Exposure, ahora LLM09. El nombre más amplio abarca más que un prompt de sistema filtrado.

La agencia excesiva en el tercer puesto es la colocación que conviene notar. El término describe un sistema de IA al que se concede más permiso, autonomía o alcance del que la tarea requiere. Su posición cerca de la cima encaja con la llegada del Agent Control Standard.

Una advertencia sobre comparaciones: ninguna de las fuentes revisadas publica la clasificación completa de 2025 junto a la de 2026. Por eso este artículo no afirma cuánto se movió cada entrada.

Cómo se construyó la clasificación

El método cambió, y eso quizá sea una noticia mayor que el orden.

Cyber Security News informa de que la edición de 2026 se apoya en 7.714 incidentes reales de seguridad relacionados con la IA. Se recogieron de bases públicas de vulnerabilidades y de repositorios de daños causados por IA. La clasificación ponderó el voto de la comunidad al 75% y esos datos de incidentes al 25%.

Las ediciones anteriores descansaban en el criterio de expertos. Ahora una cuarta parte del peso procede de cosas que ocurrieron de verdad. OWASP describe el enfoque como contrastar la experiencia de la comunidad "frente a miles de incidentes del mundo real".

La página del proyecto dice que la guía se construyó con aportaciones de cientos de especialistas en seguridad de la IA. Se relaciona con otros marcos, entre ellos NIST, MITRE ATLAS y CWE, además del Top 10 de OWASP para aplicaciones agénticas. Esa segunda lista es un documento distinto. Cubre sistemas que actúan de forma autónoma y no debe confundirse con esta.

Qué añade el Agent Control Standard

El nuevo estándar fue donado al proyecto en lugar de escribirse dentro de él, según el anuncio.

El anuncio lo describe como una extensión de las recomendaciones hacia una "aplicación práctica en tiempo de ejecución" que cubre identidad, gobernanza y pruebas en sistemas agénticos. El material publicado se detiene ahí. No especifica qué controles exige realmente el estándar, así que conviene dar el detalle por no disponible hasta leer el documento.

El razonamiento lo expone con claridad la dirección del proyecto. "La IA está pasando de modelos que generan contenido a agentes que pueden actuar de forma autónoma", dijo Steve Wilson, fundador del top 10 y director de IA en Exabeam. Scott Clinton, presidente y cofundador del proyecto, dijo que la seguridad de la IA generativa ha pasado "increíblemente rápido de una preocupación emergente a una prioridad operativa".

El top 10 de 2026 superó las 10.000 descargas en 48 horas. El proyecto declara más de 30.000 miembros en LinkedIn y nombra a F5 y WitnessAI como nuevos patrocinadores oro, y a Evoke Security y Mondoo como nuevos patrocinadores plata.

Qué significa esto para los desarrolladores

Empiece por el principio de diseño, no por la lista. Cyber Security News resume la postura del proyecto en una línea. Los equipos deberían dejar de intentar construir un modelo que "no pueda ser engañado". En su lugar deben endurecer la arquitectura que lo rodea, de modo que un modelo comprometido tenga un impacto contenido aguas abajo.

Es una instrucción concreta. Sus defensas van en las fronteras por las que habla el modelo, no dentro del prompt. Si su única protección contra la inyección de prompts es una redacción en el prompt de sistema, ha construido justo aquello que OWASP desaconseja.

Audite primero la agencia, dado su puesto. Enumere cada herramienta que su agente puede invocar, cada credencial que posee y cada acción que puede ejecutar sin un humano. Después quite lo que la tarea no necesita. La agencia excesiva es tercera porque esa poda rara vez ocurre.

Dos entradas merecen atención si usa recuperación. Los fallos de vectores y memoria, en LLM07, afectan al almacén que hay detrás de un sistema de recuperación. La exposición de contexto oculto, en LLM09, ya cubre más que el prompt de sistema. Todo lo que ponga en el contexto es potencialmente recuperable, incluidos documentos que otro usuario nunca debería ver.

Las correspondencias entre marcos son el atajo práctico para quien ya está bajo un régimen de cumplimiento. La edición de 2026 se relaciona con NIST, MITRE ATLAS y CWE. Eso permite enganchar estos riesgos a controles sobre los que su organización ya informa. Es mejor que llevar un esfuerzo de seguridad de IA aparte del existente.