OWASP GenAI Security Project opublikował na początku sierpnia nową edycję listy największych zagrożeń dla aplikacji opartych na dużych modelach językowych. Po raz pierwszy o kolejności pozycji zdecydowały nie tylko głosy praktyków, ale też twarde dane z tysięcy rzeczywistych incydentów.
Kluczowe fakty:
- OWASP GenAI Security Project opublikował w sierpniu nową edycję listy największych zagrożeń dla aplikacji opartych na dużych modelach językowych – po raz pierwszy uwzględniając twarde dane z rzeczywistych incydentów, nie tylko głosy ekspertów.
- Spośród ponad 7000 zebranych przypadków sklasyfikowano 6639, którym przyznano jedną czwartą wagi końcowego wyniku; pozostałe 75% nadal pochodzi z głosowania społeczności praktyków.
- Prompt Injection został wskazany przez społeczność jako zagrożenie numer jeden, mimo że w surowych danych incydentowych nie znalazłby się nawet w pierwszej dziesiątce – OWASP tłumaczy to intensywnymi działaniami obronnymi, które zapobiegają trafianiu takich ataków do publicznych rejestrów.
Zmieniło się jedno założenie i pociągnęło za sobą cały dokument. Wcześniejsze edycje pytały, co da się z modelu wyciągnąć. Ta pyta, co model może zrobić, kiedy ktoś przejmie nad nim kontrolę. Różnica brzmi subtelnie, ale w praktyce dzieli chatbota, który wypisze bzdurę na ekranie, od agenta, który tę samą bzdurę zamieni w wywołanie API, przelew albo skasowany zasób.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Głosowanie ekspertów spotkało się z bazą szkód
Każda poprzednia wersja listy była produktem konsensusu. Setki specjalistów głosowało, które ryzyko boli najbardziej, i tyle. W edycji 2026 zespół dołożył do tego korpus rzeczywistych zdarzeń zebranych z publicznych baz podatności oraz z bazy szkód związanych ze sztuczną inteligencją. Z ponad siedmiu tysięcy zgromadzonych przypadków udało się sklasyfikować 6639 i to one dostały jedną czwartą wagi końcowego wyniku. Pozostałe 75 procent nadal pochodzi z głosowania.
Podział był świadomy. Liderzy projektu tłumaczą go wprost: „to produkt konsensusu, a jeden hałaśliwy rok danych nie może obalić osądu ludzi, którzy tę pracę wykonują” / „is a consensus product, and one noisy year of data does not get to overturn the judgment of the people doing the work”. Ćwierć wagi wystarczyło jednak, żeby przesunąć pozycję o kilka miejsc tam, gdzie przekonania rozjechały się z dowodami.
Najciekawsze są właśnie te rozjazdy. Prompt Injection został przez społeczność wskazany jako zagrożenie numer jeden, choć w surowych danych incydentowych nie zmieściłby się w pierwszej dziesiątce. OWASP nazywa to efektem obronnym: zespoły bezpieczeństwa wkładają w tę kategorię tyle wysiłku, że część ataków nigdy nie trafia do publicznych rejestrów. Misinformation zachowało się dokładnie odwrotnie. Praktycy stawiali je nisko, dane pokazały coś przeciwnego.
Pełne zestawienie i ruchy w tabeli
| 2026 | Zagrożenie | 2025 | Zmiana |
|---|---|---|---|
| 1 | Prompt Injection | 1 | bez zmian |
| 2 | Sensitive Information Disclosure | 2 | bez zmian |
| 3 | Excessive Agency | 6 | w górę o 3 |
| 4 | Supply Chain | 3 | w dół o 1 |
| 5 | Data and Model Poisoning | 4 | w dół o 1 |
| 6 | Unbounded Consumption | 10 | w górę o 4 |
| 7 | Misinformation | 9 | w górę o 2 |
| 8 | Hidden Context Exposure | 7 | nowy zakres |
| 9 | Vector and Embedding Weaknesses | 8 | w dół o 1 |
| 10 | Improper Output Handling | 5 | w dół o 5 |
Kilka kategorii nie doczekało się osobnych wpisów, tylko wchłonęło nowe ryzyka. Prompt Injection obejmuje teraz ataki międzymodalne ukryte w obrazach i dźwięku. Data and Model Poisoning przejęło podszycie się pod proces dostrajania modelu. System Prompt Leakage zmieniło nazwę na Hidden Context Exposure, bo sekret zaszyty w instrukcji systemowej to dziś najmniejszy z problemów. Wyciec może pamięć długoterminowa, dokumenty pobrane przez RAG, nazwy zasobów zwrócone przez narzędzia albo fragmenty danych innego najemcy w systemie wielodzierżawnym.
Awans z szóstego na trzecie miejsce, czyli model dostał uprawnienia zapisu
Excessive Agency to moim zdaniem najważniejszy ruch w całym zestawieniu i najlepsze streszczenie tego, co wydarzyło się na rynku przez ostatnie dwanaście miesięcy. OWASP rozbija tę kategorię na trzy źródła problemu:
- nadmiar funkcji, kiedy narzędzie do odczytu dokumentów potrafi je również usunąć;
- nadmiar uprawnień, kiedy agent pracuje na koncie technicznym z prawem zapisu do całej bazy;
- nadmiar autonomii, kiedy operacja nieodwracalna wykonuje się bez zatwierdzenia przez człowieka.
Klasyczny scenariusz wygląda banalnie. Agent obsługuje zgłoszenia serwisowe, czyta załączniki, pobiera dane z systemu obsługi klienta i może wysyłać wiadomości. Atakujący wkleja ukrytą instrukcję w treść zgłoszenia. Model czyta ją jako część kontekstu, pobiera dane i wysyła je pod wskazany adres. Prompt Injection był drzwiami. Excessive Agency dało zasięg i skutek.
I tu leży sedno całej edycji. Filtr promptów nie naprawi architektury, w której model trzyma klucze do wszystkiego.
Czytam tę listę z mieszanymi uczuciami. Z jednej strony cieszy mnie, że OWASP przestał udawać, że da się zbudować model odporny na manipulację, i przesunął ciężar na ograniczanie skutków. To dojrzalsze podejście niż wiara w coraz lepsze klasyfikatory wejścia. Z drugiej strony obawiam się, jak ta zmiana zostanie odczytana w firmach. Widziałem już prezentacje, w których slajd z Top 10 służy wyłącznie za dowód, że temat jest ogarnięty. Tymczasem sensowne wdrożenie tych zaleceń oznacza przebudowę uprawnień, kont technicznych i procesu zatwierdzania operacji, a nie zakup kolejnego narzędzia z etykietą AI security. Pytanie, które zadałbym każdemu zarządowi finansującemu wdrożenie agentowe: czy ktoś u nas potrafi wymienić z pamięci wszystkie systemy, do których nasz agent ma prawo zapisu? Jeśli odpowiedzi nie ma, kolejność prac jest oczywista.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Prompt injection przestał być sztuczką z okna czatu
Hasło o ignorowaniu wcześniejszych instrukcji nadal działa, ale to dziś najprostszy wariant ataku. Nowa definicja obejmuje treść strony internetowej, wiadomość pocztową, dokument PDF, fragment pobrany przez RAG, opis narzędzia, odpowiedź serwera MCP, obraz i ścieżkę dźwiękową z ukrytym poleceniem, wpis zapisany w pamięci agenta i uruchamiany w kolejnych sesjach, wreszcie niewidoczne znaki Unicode.
Atakujący nie musi w ogóle rozmawiać z agentem. Wystarczy, że zostawi treść tam, gdzie agent kiedyś zajrzy. Formularz kontaktowy, zgłoszenie w repozytorium, opis produktu, przesłane CV. OWASP mówi otwarcie, że współczesne modele nie mają twardej granicy architektonicznej między instrukcją a danymi, bo jedno i drugie trafia do tego samego strumienia tokenów.
Zdanie, które liderzy projektu stawiają na samym początku dokumentu, streszcza całą filozofię edycji: „Przestańcie próbować zbudować model, którego nie da się oszukać. Zbudujcie wokół niego taki system, żeby w chwili, gdy model zostanie oszukany, a zostanie, nie posypało się nic ważnego” / „Stop trying to build a model that cannot be fooled. Build the system around it, so that when the model is fooled, and it will be, nothing important breaks.”
Halucynacja w agencie kosztuje więcej niż halucynacja w czacie
Misinformation awansowało na siódme miejsce z powodu, który brzmi banalnie, dopóki nie zobaczy się rachunku. Odpowiedzi modeli trafiają dziś bezpośrednio do procesów. Halucynacja w rozmowie irytuje. Halucynacja w agencie pracującym w centrum operacji bezpieczeństwa może zamknąć prawdziwy alert, a w asystencie programisty wprowadzić podatność do repozytorium. Liderzy projektu ujmują to tak: „W nowoczesnych systemach wyniki modelu uruchamiają wywołania narzędzi, generują kod, pozwalają wnioskować o stanie systemu, autoryzują działania i koordynują pracę wielu agentów” / „In modern systems, model outputs drive tool calls, generate code, infer system state, authorize actions, and coordinate across agents.”
Unbounded Consumption skoczyło o cztery pozycje i tu chodzi już wprost o pieniądze. Agent potrafi wpaść w pętlę, wywołać narzędzie kilkaset razy i wygenerować kontekst, za który ktoś zapłaci. Limit tokenów na pojedyncze zapytanie tego nie zatrzyma. Potrzebne są budżety całego zadania, liczby kroków, czasu wykonania i kosztu przypisanego do konkretnego procesu.
Improper Output Handling spadło na dziesiąte miejsce, ale zakres kategorii się rozszerzył o niebezpieczny kod produkowany masowo przez asystentów. Spadek oznacza przetasowanie priorytetów, a nie zgodę na przekazywanie wyniku modelu prosto do powłoki systemowej albo zapytania SQL.
Polskie firmy mają już agentów, tylko nie mają dla nich zasad
Ta lista trafia do Polski w wyjątkowo niewygodnym momencie. Z raportu „Cyberportret polskiego biznesu 2026″, przygotowanego przez ESET i DAGMA Bezpieczeństwo IT na próbie 1026 osób pracujących przy komputerze przynajmniej trzy dni w tygodniu, wynika, że 62 procent pracowników używa narzędzi sztucznej inteligencji w obowiązkach służbowych, a niemal co piąty korzysta już z autonomicznych agentów. Spisaną politykę korzystania z tych narzędzi ma 27 procent firm. Do tego 35 procent użytkowników przyznaje, że próbowałoby obejść firmową blokadę, gdyby pracodawca odciął im ulubione narzędzie, a 85 procent organizacji zaliczyło w ciągu roku incydent bezpieczeństwa.
Zestawiam te liczby z OWASP i wychodzi mi obraz, którego nie da się załatwić szkoleniem. Agenci działają w polskich firmach oddolnie, na kontach zwykłych pracowników, często poza wiedzą działu bezpieczeństwa. Excessive Agency w takim układzie nie jest teoretycznym ryzykiem z zagranicznego dokumentu, tylko opisem stanu faktycznego.
Dochodzi do tego kalendarz regulacyjny. Od sierpnia 2026 roku stosuje się przepisy AI Act dotyczące systemów wysokiego ryzyka, a firmy objęte krajowym systemem cyberbezpieczeństwa muszą liczyć się z wymogami wynikającymi z dyrektywy NIS2. Dokument OWASP zawiera mapowania do NIST AI RMF, MITRE ATLAS, MITRE ATT&CK, CWE i macierzy kontroli CSA, więc nadaje się na materiał wejściowy do modelowania zagrożeń, wymagań zakupowych i audytu, a nie tylko na slajd.
Od czego zacząć, jeśli macie już agenta w produkcji:
- Zinwentaryzujcie prawdziwą powierzchnię ataku, łącznie z serwerami MCP, kontami technicznymi i każdym miejscem, do którego trafia wynik modelu.
- Traktujcie każde wejście jak dane od atakującego, także dokumenty wewnętrzne, bo ktoś mógł je wcześniej wgrać przez formularz.
- Oddzielcie decyzję modelu od wykonania akcji, a poświadczenia trzymajcie poza modelem.
- Ograniczcie funkcje, uprawnienia i autonomię do minimum wynikającego z zadania.
- Zapis do pamięci trwałej potraktujcie jak operację uprzywilejowaną, z historią zmian i możliwością wycofania.
- Wprowadźcie limity kroków, wywołań, czasu i kosztu, osobno dla użytkownika i procesu.
- Testujcie cały system, nie sam prompt, i powtarzajcie testy po każdej zmianie modelu, narzędzia albo źródła danych.
Najgroźniejsze jest połączenie trzech rzeczy naraz: dostępu do niezaufanej treści, dostępu do danych poufnych i możliwości komunikacji na zewnątrz. Agent, który ma cały ten komplet, daje atakującemu gotową drogę od ładunku do skutku.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Której listy używać
OWASP wyznacza tu wyraźną granicę. Model jako komponent aplikacji, który przyjmuje dane i zwraca wynik, analizuje się przez Top 10 for LLM Applications. Agent z pamięcią, narzędziami, własną tożsamością i możliwością wykonywania wieloetapowych działań wymaga dodatkowo Top 10 for Agentic Applications. Typowe wdrożenie potrzebuje obu perspektyw naraz, bo pierwsza lista opisuje sposób manipulacji wejściem, a druga to, co dzieje się później.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiału źródłowego, którym jest dokument OWASP GenAI LLM Top 10 2026 opublikowany przez OWASP GenAI Security Project 03.08.2026, uzupełniony o omówienie serwisu Help Net Security z dnia 06.08.2026 oraz o powiązaną listę OWASP Top 10 for Agentic Applications 2026. Dane o polskim rynku pochodzą z raportu „Cyberportret polskiego biznesu 2026″ firm ESET i DAGMA Bezpieczeństwo IT, zrealizowanego przez ARC Rynek i Opinia, opisanego między innymi przez Rzeczpospolitą i ITReseller. Polskie omówienie samej listy opublikował także serwis Sekurak. Cytaty liderów projektu OWASP GenAI Security zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o edycji 2026 listy OWASP Top 10 dla aplikacji LLM.
