Die OWASP Top 10 für LLM-Anwendungen (2025) im Überblick, aus der Perspektive der Agentenentwicklung

Worum es geht

Das OWASP GenAI Security Project veröffentlicht eine Top 10 für LLM-Anwendungen. Die Ausgabe 2025 listet auf:

1. LLM01 Prompt Injection — Eingaben verändern das Verhalten des Modells. Frage für Agenten: Was kann die schlimmste befolgte Anweisung mit meinen Werkzeugen anrichten?
2. LLM02 Sensitive Information Disclosure — Die Anwendung gibt Daten preis, die sie nicht preisgeben sollte. Frage: Welche Daten können in den Kontext gelangen, und wer sieht die Ausgabe?
3. LLM03 Supply Chain — Modelle, Datensätze, Plugins und Pakete von Dritten. Frage: Welche meiner Werkzeuge und MCP-Server sind fixiert und geprüft?
4. LLM04 Data and Model Poisoning — Manipulierte Trainings-, Feintuning- oder Embedding-Daten. Frage: Wer kann schreiben, woraus ich lerne oder was ich abrufe?
5. LLM05 Improper Output Handling — Modellausgabe wird ungeprüft an andere Komponenten weitergegeben. Frage: Wo wird die Ausgabe zu SQL, Shell, HTML oder einer URL?
6. LLM06 Excessive Agency — OWASP nennt übermässige Funktionalität, übermässige Berechtigungen und übermässige Autonomie als Grundursachen. Frage: Welche Werkzeuge, Berechtigungsumfänge und unbeaufsichtigten Aktionen kann ich entfernen?
7. LLM07 System Prompt Leakage — Geheimnisse oder Regeln im Prompt werden offengelegt. Frage: Muss irgendetwas in meinem Prompt geheim bleiben? Wenn ja, gehört es dort nicht hin.
8. LLM08 Vector and Embedding Weaknesses — Risiken in Retrieval-Speichern. Frage: Werden Zugriffskontrollen zum Zeitpunkt des Retrieval durchgesetzt?
9. LLM09 Misinformation — Selbstbewusst vorgetragene falsche Ausgabe. Frage: Wo handeln Nutzende aufgrund von Antworten, ohne Quellen zu prüfen?
10. LLM10 Unbounded Consumption — Unkontrollierter Ressourcenverbrauch. Frage: Was begrenzt Tokens, Werkzeugaufrufe, Zeit und Kosten pro Lauf?

Warum es wichtig ist

Die Liste ist ein gemeinsames Vokabular für Bedrohungsmodelle und Reviews. Bei Agenten hängen die Einträge 1, 5 und 6 zusammen: Eine Injektion (1) wird durch Output-Handling (5) und Agency (6) zu Schaden.

So wird es angewendet

• Die zehn Einträge als Zeilen in einer Bedrohungsmodellierungs-Sitzung für jede Agentenkonfiguration verwenden.
• Jedes Werkzeug den Einträgen zuordnen, die es betreffen, und die Massnahme daneben notieren.
• Die Einträge erneut lesen, wenn die Liste überarbeitet wird; Nummerierung und Umfang haben sich zwischen den Ausgaben 2023–24 und 2025 geändert.

Stolpersteine

• Die Liste als vollständig zu behandeln; sie ersetzt nicht die klassische Web- und Infrastruktursicherheit, die weiterhin für jedes vom Agenten aufgerufene Werkzeug gilt.