OWASP lance un Agent Control Standard à côté de son top 10 LLM 2026

L'OWASP GenAI Security Project a annoncé un Agent Control Standard le 2 septembre 2026, en même temps qu'un ensemble élargi de ressources pour son Top 10 2026 des applications LLM. Ce standard vise les logiciels qui agissent d'eux-mêmes, et pas seulement qui produisent du texte. C'est précisément la lacune que la plupart des guides de sécurité de l'IA laissent ouverte.

OWASP est une organisation à but non lucratif de longue date. Ses top 10 sont devenus la liste de contrôle de référence pour la sécurité des applications web. Sa liste LLM joue le même rôle pour les logiciels d'IA.

Le top 10 2026, dans l'ordre

Cyber Security News a publié le classement complet. L'injection de prompt reste en première place.

Rang	Risque
LLM01	Injection de prompt
LLM02	Divulgation d'informations sensibles
LLM03	Agentivité excessive
LLM04	Empoisonnement des données et du modèle
LLM05	Chaîne d'approvisionnement défaillante
LLM06	Traitement non sécurisé des sorties
LLM07	Failles des vecteurs et de la mémoire
LLM08	Désinformation
LLM09	Exposition de contexte caché
LLM10	Consommation illimitée

Une entrée a changé de nom. Selon Cyber Security News, System Prompt Leakage a été renommée et élargie en Hidden Context Exposure, désormais LLM09. Ce nom plus large couvre davantage qu'une invite système ayant fuité.

L'agentivité excessive à la troisième place est le placement à noter. Le terme désigne un système d'IA doté de plus de droits, d'autonomie ou de portée que la tâche ne l'exige. Sa position près du sommet accompagne l'arrivée de l'Agent Control Standard.

Une mise en garde sur les comparaisons : aucune des sources consultées ne publie le classement complet de 2025 à côté de celui de 2026. Cet article n'affirme donc pas de combien chaque entrée a bougé.

Comment le classement a été construit

La méthode a changé, et c'est sans doute une nouvelle plus importante que l'ordre lui-même.

Cyber Security News rapporte que l'édition 2026 s'appuie sur 7 714 incidents de sécurité réels liés à l'IA. Ils proviennent de bases publiques de vulnérabilités et de répertoires de préjudices causés par l'IA. Le classement a pondéré le vote de la communauté à 75% et ces données d'incidents à 25%.

Les éditions précédentes reposaient sur le jugement d'experts. Désormais un quart du poids vient de faits réellement survenus. OWASP décrit la démarche comme une confrontation de l'expertise de la communauté "à des milliers d'incidents réels".

La page du projet indique que le guide a été bâti avec des contributions de centaines de spécialistes de la sécurité de l'IA. Il renvoie à d'autres cadres, dont NIST, MITRE ATLAS et CWE, ainsi qu'au Top 10 d'OWASP pour les applications agentiques. Cette seconde liste est un document distinct. Elle traite des systèmes qui agissent de façon autonome et ne doit pas être confondue avec celle-ci.

Ce qu'ajoute l'Agent Control Standard

Le nouveau standard a été donné au projet plutôt qu'écrit en son sein, selon l'annonce.

L'annonce le décrit comme étendant les recommandations vers une "application concrète à l'exécution" couvrant l'identité, la gouvernance et les tests dans les systèmes agentiques. Le matériel publié s'arrête là. Il ne précise pas quels contrôles le standard exige réellement. Considérez le détail comme indisponible tant que le document lui-même n'a pas été lu.

Le raisonnement est exposé sans détour par la direction du projet. "L'IA passe de modèles qui génèrent du contenu à des agents capables d'agir de façon autonome", a déclaré Steve Wilson, fondateur du top 10 et directeur de l'IA chez Exabeam. Scott Clinton, président et cofondateur du projet, a dit que la sécurité de l'IA générative était "passée incroyablement vite d'une préoccupation émergente à une priorité opérationnelle".

Le top 10 2026 a dépassé 10 000 téléchargements en 48 heures. Le projet revendique plus de 30 000 membres sur LinkedIn et cite F5 et WitnessAI comme nouveaux sponsors or, Evoke Security et Mondoo comme nouveaux sponsors argent.

Ce que cela signifie pour les développeurs

Commencez par le principe de conception, pas par la liste. Cyber Security News résume la position du projet en une phrase. Les équipes doivent cesser de vouloir construire un modèle qui "ne peut pas être trompé". Elles doivent plutôt durcir l'architecture autour de lui, pour qu'un modèle compromis ait un impact aval contenu.

C'est une consigne concrète. Vos défenses appartiennent aux frontières par lesquelles le modèle communique, pas à l'intérieur de l'invite. Si votre seule protection contre l'injection de prompt tient à une formulation dans l'invite système, vous avez construit exactement ce qu'OWASP déconseille.

Auditez d'abord l'agentivité, vu son rang. Listez chaque outil que votre agent peut appeler, chaque identifiant qu'il détient et chaque action qu'il peut mener sans humain. Puis retirez ce dont la tâche n'a pas besoin. L'agentivité excessive est troisième parce que cet élagage se fait rarement.

Deux entrées méritent attention si vous faites de la recherche augmentée. Les failles des vecteurs et de la mémoire, en LLM07, concernent le stockage derrière un système de récupération. L'exposition de contexte caché, en LLM09, dépasse désormais la seule invite système. Tout ce que vous placez dans le contexte est potentiellement récupérable, y compris des documents qu'un autre utilisateur ne devrait jamais voir.

Les correspondances entre cadres sont le raccourci pratique pour qui est déjà soumis à un régime de conformité. L'édition 2026 renvoie à NIST, MITRE ATLAS et CWE. Cela permet de rattacher ces risques à des contrôles sur lesquels votre organisation rapporte déjà. Mieux vaut cela qu'un effort de sécurité de l'IA mené séparément.