Az OWASP 2026-os LLM-kockázati listája a rejtett kontextusra is figyelmeztet

2026. október 26. 08:00Forrás: Fiddler AI

Az OWASP GenAI Security Project közzétette a nagy nyelvi modellekre épülő alkalmazások 2026-os Top 10 kockázati listáját. A kiadásban a Prompt Injection továbbra is az első helyen áll, miközben az Excessive Agency a harmadik helyre került, a System Prompt Leakage helyét pedig a szélesebb Hidden Context Exposure vette át.

A lényeg röviden

A Prompt Injection 2026-ban is az OWASP LLM-listájának első kockázata.
Az Excessive Agency a harmadik helyre került.
A Hidden Context Exposure a rendszerutasításokon túl az eszközsémákat és a lekért szabályzatszövegeket is lefedi.
A kéréseket és válaszokat érzékeny adatok, injekciók és tiltott tartalmak szempontjából is vizsgálni kell.
Az OWASP minden kockázathoz kontrollt és annak működését igazoló tesztelési módot társít.

Tíz kockázat, rangsorolt formában

Az OWASP Top 10 for LLM Applications az OWASP GenAI Security Project által gondozott rangsor, amely a projekt közreműködői szerint a nagy nyelvi modellekre épülő alkalmazások tíz legfontosabb kockázatát sorolja fel. A 2026-os kiadás dátuma 2026. augusztus 3., az Fiddler összefoglalója pedig 2026. október 26-án jelent meg.

A lista első helyén az LLM01:2026 Prompt Injection áll, ezt követi az LLM02:2026 Sensitive Information Disclosure. A harmadik az LLM03:2026 Excessive Agency, majd az LLM04:2026 Supply Chain, az LLM05:2026 Data and Model Poisoning, az LLM06:2026 Unbounded Consumption, az LLM07:2026 Misinformation, az LLM08:2026 Hidden Context Exposure, az LLM09:2026 Vector and Embedding Weaknesses és az LLM10:2026 Improper Output Handling következik.

A bemenet és a kimenet is támadási felület

A Prompt Injection olyan bemenet, amely a fejlesztő szándékával ellentétesen módosítja a modell viselkedését. A támadás érkezhet közvetlenül a felhasználótól, de közvetett módon e-mailekből, dokumentumokból, eszközök válaszaiból, képekből vagy hanganyagokból is. Az OWASP szerint a védekezés része, hogy a rendszer a nem rendszerszintű tartalmakat adatként kezelje, és a felhasználói, valamint a lekért és eszközöktől érkező tartalmakat is vizsgálja.

Az Improper Output Handling akkor jelent problémát, amikor a modell kimenete befecskendezett utasítássá válik a következő rendszerben. A nem megfelelően kezelt HTML cross-site scriptinghez, a paraméterezés nélküli lekérdezés SQL-injektáláshoz, a végrehajtott shell-parancs pedig távoli kódfuttatáshoz vezethet. Az Fiddler szerint a kimenetet a felhasználási helynek megfelelően kell kódolni és ellenőrizni, a generált kód vagy parancs futtatásához pedig jóváhagyás szükséges.

Adatszivárgás, mérgezett modellek és rejtett kontextus

A Sensitive Information Disclosure a személyazonosító adatok, egészségügyi adatok, hitelesítő adatok vagy üzleti titkok felfedését jelenti. Az ellenőrzésnek már a modell meghívása előtt át kell vizsgálnia a kérést, az eszközválaszokat és a fájlbeolvasásokat, majd szükség esetén maszkolnia vagy blokkolnia kell az érzékeny adatokat. A választ a kézbesítés előtt szintén ellenőrizni kell.

A Data and Model Poisoning a tanítási, finomhangolási, beágyazási, visszakereséses generálási vagy terjesztési folyamat során módosított adatokra és modellalkotóelemekre vonatkozik. Az OWASP által idézett kutatás szerint akár 250 mérgezett dokumentum is veszélyeztethet 600 millió és 13 milliárd paraméter közötti modelleket. A Hidden Context Exposure a rendszerutasítások mellett a fejlesztői utasításokat, az eszközsémákat és a visszakeresett szabályzatszövegeket is lefedi. Az ajánlás szerint ezeket a kontextusokat felfedezhetőként kell kezelni, a titkokat és a jogosultsági logikát pedig ki kell venni belőlük.

A lista gyakorlati ellenőrzőlistaként használható: egyes kockázatok a kérés vagy a válasz útvonalán vizsgálhatók, másokhoz már a modell, az adatfolyam vagy az ügynökrendszer megtervezésekor szükséges kontroll. Az Fiddler szerint minden kontrollhoz olyan tesztet kell rendelni, amely megmutatja, hogy a védelem ténylegesen működik-e.