用語集
更新日
発行元およびリリース時期について
このリストは、OWASP Gen AI Security ProjectのAgentic Security Initiative（ASIプレフィックスの由来）によって作成されました。100人以上のセキュリティ研究者や実務担当者が参加した1年以上の研究とレビューを経て、2026年サイクル向けとして2025年12月10日にリリースされました。これは、モデルレベルおよびプロンプトレベルのリスクを扱う「OWASP Top 10 for LLM Applications」と並行して存在するものであり、それを置き換えるものではありません。なお、OWASPは別途「Agentic Skills Top 10」プロジェクトも運営しているため、参照しているドキュメントがどちらのリストを指しているか確認することをお勧めします。
10大リスクとは？
ASI01 エージェントの目標ハイジャック（Agent Goal Hijack）：攻撃者がエージェントの読み取るコンテンツを介して目的を操作する。ASI02 ツールの誤用と悪用（Tool Misuse and Exploitation）：正当なツールが意図しない方法で連鎖または呼び出される。ASI03 アイデンティティと権限の乱用（Identity and Privilege Abuse）：エージェントがタスクに必要な以上の権限を保持する、またはユーザーセッションを借用する。ASI04 エージェントのサプライチェーンの脆弱性（Agentic Supply Chain Vulnerabilities）。ASI05 予期しないコード実行（Unexpected Code Execution）。ASI06 メモリとコンテキストの汚染（Memory and Context Poisoning）。ASI07 不セキュアなエージェント間通信（Insecure Inter-Agent Communication）。ASI08 連鎖的障害（Cascading Failures）。ASI09 人間とエージェント間の信頼の悪用（Human-Agent Trust Exploitation）。ASI10 ローグエージェント（Rogue Agents）。
LLMセキュリティとの違いは？
プロンプトレベルのセキュリティは「モデルが何を言うか」を問い、エージェント型セキュリティは「システムが何をするか」を問います。エージェントは信頼できないコンテンツを読み取り、自ら次のステップを決定し、ツールを呼び出し、他のシステムの状態を変更します。そのため、攻撃が成功した場合の影響範囲は、対話（会話）レベルにとどまらず、業務運用全体に及びます。ASI01はその変化を示しています。エージェントが取得したドキュメントやWebページに悪意のある指示が埋め込まれている場合、エージェントの目標が書き換えられる可能性があります。これは出力フィルタリングでは検知できません。なぜなら、有害な結果はエージェントが返すテキストではなく、エージェントが実行するアクションだからです。
AIガバナンスとどのように連携するのか？
これら10のリスクの多くは、技術的な問題であると同時にガバナンスの失敗でもあります。アイデンティティと権限の乱用は権限設計の意思決定に関わる問題です。ローグエージェントや連鎖的障害は、人間の承認なしにエージェントに何を許可するか、また複数のエージェントが相互作用したときに何が起こるかという問題です。人間とエージェント間の信頼の悪用は、インターフェースがエージェントにどの程度の権限があるように見せているかに関係します。これらに対処するためのコントロールは、承認および権限レイヤーに存在します。そのため、このリストは単なるセキュリティレビューのためだけでなく、エージェント型ガバナンスポリシーを構築するための有用な骨子となっています。
各チームはどのように活用すべきか？
2つのタイミングでチェックリストとして活用してください。1つ目は導入時です。エージェントのユースケースが提案された際に、10のリスクを一つずつ確認し、どれが該当するか、そしてそれぞれに対してどのような管理策を講じるかを記録します。2つ目はレビュー時です。いくつかの項目は、エージェントが敵対的な入力に直面したときに初めて顕在化する攻撃を表しているため、レッドチーム演習の構成にこのリストを使用します。これら10のリスクを、NIST AI RMFやISO/IEC 42001などの既存の管理フレームワークにマッピングすることで、エージェント型セキュリティを他のAIガバナンスから切り離された個別のプログラムとして運用することを避けることができます。
例
サポートチームが、顧客のEメールを読み取り、アカウント記録を検索して返金を行うエージェントをデプロイします。受付時にリストを確認したところ、チームは3つの生の脆弱性を発見します。顧客がエージェントの読み取るEメール内に指示を混入させる可能性があるため、ASI01が適用され、信頼できないコンテンツが指示コンテキストから分離されます。エージェントに人間の管理者と同じデータベース権限が与えられていたため、ASI03が適用され、その権限は必要な特定のレコードおよび操作に限定されます。返金ツールが任意の金額を受け入れるため、ASI02が適用され、上限値の設定と、その上限を超える場合の人間による承認ステップが追加されます。これらのコントロールはユースケースに対して記録され、セキュリティレビュー担当者と監査人に同一の証跡を提供します。