本文基于OWASP最新发布的《OWASP Top 10 for Agentic Application 2026》总结了面向智能体的十大安全威胁的定义、脆弱性分析和防御措施（附录1）， 同时阐述了与 《OWASP Top 10 LLM 2025》、《OWASP Agentic AI威胁与防护框架》的映射关系（附录2）。

ASI01 智能体目标劫持（Agent Goal Hijack）

攻击者通过提示注入、上下文污染或外部数据投毒，将隐藏指令嵌入到用户输入、RAG 检索结果、工具输出或智能体间通信中，使智能体在规划阶段误将恶意内容视为任务目标或约束条件，从而改变整体决策方向。这类风险一般发生在目标解析与规划层。

攻击者不需要改变单次模型输出，而是通过影响目标本身，使后续多步规划、工具调用和执行行为持续围绕错误目标展开，导致系统在“看似合理”的流程中执行非预期操作。这类风险属于Agent 原生的结构性风险。

在具备长期记忆的智能体系统中，被劫持的目标还可能被写入记忆或上下文缓存，在跨会话、跨任务中反复生效，形成持续性的行为偏移。

ASI02 工具滥用与利用（Tool Misuse and Exploitation）

攻击者通过操纵智能体的输入或上下文，引导其在合法权限范围内错误使用工具，例如调用不恰当的 API、使用错误参数或以异常顺序组合多个工具，从而造成数据泄露、资源消耗或业务破坏。这类风险一般发生在工具调用层。

部分攻击并不依赖工具漏洞，而是利用智能体对工具能力、语义或副作用理解不足，在正常流程中完成破坏性操作，属于能力被系统性误用的风险。

在支持自动执行和多工具链式调用的场景中，单次工具误用可能被迅速放大，演变为跨系统影响。

ASI03 身份与权限滥用（Identity and Privilege Abuse）

ASI04 智能体供应链风险（Agentic Supply Chain Vulnerabilities）

攻击者通过投毒、篡改或伪装智能体依赖的外部组件（如模型、工具、插件、Prompt 模板、Agent 描述文件或注册服务），在不直接攻击智能体本身的情况下影响其行为。这类风险一般发生在组件加载与依赖管理层。

由于 Agentic 系统中的组件往往在运行时动态发现和加载，被污染的组件可能被多个智能体同时信任，从而快速扩散影响。

与传统软件供应链相比，该风险不仅涉及代码，还包括 Prompt、配置和行为描述等“软逻辑”。

ASI05 意外代码执行（Unexpected Code Execution）

攻击者通过提示注入、上下文操纵或工具链缺陷，使智能体生成或处理的文本被直接或间接解释为可执行代码，从而触发非预期的代码执行。这类风险一般发生在代码生成与执行边界处。

在自动化编程、运维或自修复场景中，智能体可能在缺乏人工审查的情况下执行生成代码，导致远程代码执行、数据破坏或系统失控。

该风险属于语言到行为边界失效所引发的高危问题。

ASI06 记忆与上下文投毒（Memory & Context Poisoning）

攻击者通过输入、外部数据或智能体交互，将错误、恶意或误导性信息写入智能体的长期记忆或可复用上下文中，影响其后续决策与行为。这类风险一般发生在记忆管理与上下文复用层。

与一次性 Prompt Injection 不同，被污染的记忆会在未来多次任务中反复生效，具有持续性和累积性。

在向量检索或跨租户记忆共享场景中，该风险还可能引发数据隔离问题。

ASI07 智能体间通信不安全（Insecure Inter-Agent Communication）

攻击者通过伪造、篡改或重放智能体之间的通信消息，操纵其协作行为或决策结果。这类风险一般发生在Agent-to-Agent 通信层。

由于智能体间通信通常被视为“内部可信流量”，一旦缺乏身份验证、完整性校验或防重放机制，攻击者即可插入恶意指令而不易被发现。

该风险在多智能体协作、自动调度和分布式决策场景中尤为突出。

ASI08 级联失败（Cascading Failures）

攻击者或系统错误触发的单一异常，在自治执行与多智能体协作机制下被不断复制和放大，最终演变为系统级连锁故障。这类风险一般发生在自动执行与协作传播层。

规划错误、被污染的记忆或错误的工具调用结果，可能被后续智能体视为可信输入，从而反复执行。

该风险不依赖新的攻击手段，而是源于 Agentic 系统的放大效应。

ASI09 人机信任滥用（Human-Agent Trust Exploitation）

攻击者通过操纵智能体的输出内容，使其以权威、紧急或高度合理的方式影响人类判断，从而诱导人类执行高风险操作。这类风险一般发生在人机交互层。

在此场景下，最终操作由人类完成，但决策过程已被误导，传统的自动化安全控制难以生效。

该风险表明，“人在回路”并不必然等同于安全。

ASI10 失控智能体（Rogue Agents）

智能体因目标漂移、奖励机制缺陷、上下文污染或持续操纵，逐渐偏离原始设计意图并执行非预期行为。这类风险一般发生在长期运行与生命周期管理层。

失控智能体的单次行为可能看似合理，但整体行为模式已不符合系统目标或安全约束。

在多智能体环境中，多个失控智能体可能相互强化，导致系统难以及时恢复控制。

           附录1：OWASP Top 10 Agentic Applications-2026

                        安全风险与防护策略清单

                                   附录2：三大AI风险框架映射表

信息来源：管铭 模安局