OWASP、2026年版LLMトップ10と並べてAgent Control Standardを公開

OWASP GenAI Security Projectは2026年9月2日、Agent Control Standardを発表した。あわせて、2026年版のLLMアプリケーション向けトップ10に関する資料も拡充した。この標準が扱うのは、文章を生成するだけでなく自ら動くソフトウェアだ。AIセキュリティの指針の多くが空けたままにしてきたのが、ちょうどこの部分である。

OWASPは長く活動している非営利団体だ。そのトップ10は、Webアプリケーションのセキュリティ点検表として事実上の標準になった。LLM向けのリストは、AIソフトウェアで同じ役割を担う。

2026年版トップ10（順位順）

Cyber Security Newsが完全な順位リストを掲載した。プロンプトインジェクションは1位のままだ。

順位	リスク
LLM01	プロンプトインジェクション
LLM02	機微情報の漏えい
LLM03	過剰な権限（Excessive Agency）
LLM04	データおよびモデルの汚染
LLM05	不適切なサプライチェーン
LLM06	安全でない出力処理
LLM07	ベクトルおよびメモリの欠陥
LLM08	誤情報
LLM09	隠れた文脈の露出（Hidden Context Exposure）
LLM10	無制限な消費

1項目が改名された。Cyber Security Newsによれば、System Prompt Leakageは改名のうえ拡張され、Hidden Context Exposureとして現在はLLM09になっている。広い名称は、システムプロンプトの漏えいより多くを含む。

注目すべき配置は3位の過剰な権限だ。これは、AIシステムがその作業に必要な範囲を超えた権限、自律性、到達範囲を与えられている状態を指す。上位に近い位置は、Agent Control Standardの登場と重なる。

比較についての注意を1つ。今回参照したどの情報源も、2025年版の完全な順位を2026年版と並べて公表していない。したがって本記事は、個々の項目がどれだけ動いたかを主張しない。

順位はどう作られたか

手法が変わった。これは順序そのものより大きなニュースかもしれない。

Cyber Security Newsによれば、2026年版は7,714件の実際のAI関連セキュリティ事案に基づく。公開の脆弱性データベースと、AIによる被害の記録集から集められたものだ。順位付けでは、実務者コミュニティの投票を75%、この事案データを25%の重みとした。

これまでの版は専門家の判断に依っていた。いまは重みの4分の1が、実際に起きた出来事から来る。OWASPはこの手法を、コミュニティの知見を「数千件の実世界の事案に照らして検証する」ものだと説明している。

OWASPのプロジェクトページは、数百人のAIセキュリティ専門家の寄与で作られたとしている。NIST、MITRE ATLAS、CWEなど他のフレームワークに加え、OWASP自身のエージェント型アプリケーション向けトップ10にも対応づけられている。この2つ目のリストは別の文書だ。自律的に動くシステムを扱うもので、本記事のリストと混同すべきではない。

Agent Control Standardが加えるもの

発表によれば、この新しい標準はプロジェクト内部で書かれたのではなく、寄贈されたものだという。

発表はこれを、エージェント型システムにおける識別、統制、テストについて「実運用時の実効的な強制」へと指針を広げるものだと説明している。公開されている資料はそこまでだ。標準が実際にどの管理策を求めるのかは示されていない。文書そのものを読むまでは、詳細は未確定として扱うのがよい。

その理由は、プロジェクトの責任者が率直に述べている。「AIは、コンテンツを生成するモデルから、自律的に行動できるエージェントへ移りつつある」と、トップ10の創設者でExabeamの最高AI責任者を務めるスティーブ・ウィルソン氏は述べた。プロジェクト議長で共同創設者のスコット・クリントン氏は、生成AIのセキュリティが「新たな懸念から運用上の優先事項へと、驚くほど速く移った」と語った。

2026年版トップ10は48時間で1万ダウンロードを超えた。プロジェクトはLinkedInで3万人超の参加者を数え、新たなゴールドスポンサーとしてF5とWitnessAI、シルバースポンサーとしてEvoke SecurityとMondooを挙げている。

これが開発者にとって意味すること

リストではなく設計原則から始めたい。Cyber Security Newsは、プロジェクトの立場を一文でこうまとめている。「だまされないモデル」を作ろうとするのはやめるべきだ。代わりに周囲のアーキテクチャを固め、モデルが侵害されても下流への影響が封じ込められるようにする。

これは具体的な指示だ。防御を置くべきなのは、モデルが外とやり取りする境界であって、プロンプトの中ではない。プロンプトインジェクションへの唯一の対策がシステムプロンプトの文言なら、それはOWASPが作るなと言っているものそのものだ。

順位を踏まえて、まず権限を点検したい。エージェントが呼べるツール、保持している認証情報、人の承認なしに実行できる操作を、すべて書き出す。そのうえで、作業に不要なものを外す。過剰な権限が3位にあるのは、この刈り込みがめったに行われないからだ。

検索拡張を使っているなら、2項目に注意がいる。LLM07のベクトルおよびメモリの欠陥は、検索システムの背後にある保存領域を扱う。LLM09の隠れた文脈の露出は、いまやシステムプロンプトより広い範囲を含む。文脈に入れたものは何であれ復元されうる。他の利用者が決して見るべきでない取得文書も含めてだ。

すでに何らかの規制対応をしている人には、フレームワーク対応づけが実用的な近道になる。2026年版はNIST、MITRE ATLAS、CWEに対応づけられている。これにより、組織がすでに報告している管理策へこれらのリスクを紐づけられる。既存の取り組みとは別にAIセキュリティを走らせるより、そのほうがよい。