OWASP Top 10 für agentische Anwendungen (ASI01–ASI10): Angriffsvektoren und Exploitability jedes Risikos
Analyse aus Angreifersicht der OWASP Top 10 für agentische Anwendungen (ASI01–ASI10): wie jedes Risiko tatsächlich ausgenutzt wird, der Angriffsvektor dahinter und was einen Agenten angreifbar macht.
Autonome KI-Agenten planen, rufen Werkzeuge auf, schreiben in Speicher und delegieren Aufgaben an andere Agenten — ohne dass ein Mensch jeden Schritt freigibt. Genau diese Autonomie verschiebt die Angriffsfläche. Das OWASP Gen AI Security Project hat deshalb im Dezember 2025 die OWASP Top 10 für agentische Anwendungen (Ausgabe 2026) veröffentlicht: einen eigenen Risikokatalog für Systeme, in denen das Sprachmodell nicht nur antwortet, sondern handelt. Diese Liste ist einer der Bezugsrahmen, auf die wir uns in der gesamten Bedrohungslandschaft für KI-Agenten 2026 stützen.
Dieser Beitrag erklärt die zehn Kategorien ASI01 bis ASI10 so, wie ein Sicherheitsteam sie wirklich braucht: pro Risiko eine knappe Definition, ein konkretes Beispiel und die wichtigste Gegenmaßnahme.
Was sind die OWASP Top 10 für agentische Anwendungen?
Die OWASP Top 10 für agentische Anwendungen sind ein global begutachteter Katalog der zehn kritischsten Sicherheitsrisiken agentischer KI-Systeme. Im Unterschied zu den älteren OWASP Top 10 für LLM-Anwendungen, die das Sprachmodell selbst betrachten, adressieren die ASI-Kategorien das Verhalten autonomer Agenten: Ziele, Werkzeugnutzung, Identität, Gedächtnis, Agent-zu-Agent-Kommunikation und Eigenmächtigkeit. Die zehn Kennungen lauten ASI01 bis ASI10, wobei das Kürzel ASI für die Agentic Security Initiative von OWASP steht.
Die Kurzform für eilige Leserinnen und Leser: Ein LLM-Risiko ist meist ein Eingabe-Ausgabe-Problem, ein agentisches Risiko ist ein Handlungs- und Zustandsproblem. Ein Agent kann eine vergiftete Erinnerung Wochen später abrufen, eine echte API mit echten Rechten aufrufen oder eine Teilaufgabe an einen kompromittierten Subagenten weitergeben. Deshalb genügt es nicht, nur den Prompt zu filtern — man muss Ziele, Rechte und Aktionen über die Zeit absichern.
| Kennung | Risiko | Kern in einem Satz |
|---|---|---|
| ASI01 | Agent Goal Hijack | Angreifer verbiegen das Ziel des Agenten. |
| ASI02 | Tool Misuse & Exploitation | Werkzeuge werden unsicher oder zweckentfremdet genutzt. |
| ASI03 | Agent Identity & Privilege Abuse | Geliehene Identitäten und Rechte werden missbraucht. |
| ASI04 | Agentic Supply Chain Compromise | Werkzeuge, Plugins und Modelle Dritter sind kompromittiert. |
| ASI05 | Unexpected Code Execution | Der Agent erzeugt und führt gefährlichen Code aus. |
| ASI06 | Memory & Context Poisoning | Langzeitgedächtnis und Kontext werden vergiftet. |
| ASI07 | Insecure Inter-Agent Communication | Die Kommunikation zwischen Agenten ist ungeschützt. |
| ASI08 | Cascading Agent Failures | Fehler pflanzen sich durch das Agentensystem fort. |
| ASI09 | Human-Agent Trust Exploitation | Der Agent manipuliert das Vertrauen der Menschen. |
| ASI10 | Rogue Agents | Ein Agent driftet ab, läuft Amok oder ist übernommen. |
ASI01 — Agent Goal Hijack (Ziel-Entführung)
Risiko: Ein Angreifer verändert direkt die Ziele, Anweisungen oder Entscheidungspfade des Agenten — interaktiv über einen Prompt oder vorpositioniert über Dokumente, Vorlagen und externe Datenquellen.
Beispiel: Ein Recherche-Copilot soll ein eingereichtes PDF zusammenfassen. In dem Dokument steht in weißer Schrift auf weißem Grund die Anweisung, alle gefundenen Zugangsdaten an eine externe Adresse zu senden. Der Agent liest sie als legitime Instruktion – der agentische Nachfahre der Prompt Injection – und macht aus dem Zusammenfasser einen stillen Exfiltrationskanal.
Wichtigste Gegenmaßnahme: Trennen Sie unveränderliche Systemziele strikt von eingehenden Inhalten. Behandeln Sie jeden externen Text als nicht vertrauenswürdige Daten, nicht als Befehl, und verankern Sie das Ziel des Agenten außerhalb des manipulierbaren Kontextfensters.
ASI02 — Tool Misuse & Exploitation (Werkzeug-Missbrauch)
Risiko: Der Agent ruft seine angebundenen Werkzeuge — APIs, Datenbanken, Shell, E-Mail — auf eine Weise auf, die schädlich, übermäßig weitreichend oder vom Anwendungszweck nicht gedeckt ist.
Beispiel: Ein Kundenservice-Agent darf Bestellungen stornieren. Über eine geschickt formulierte Anfrage bringt ein Angreifer ihn dazu, die Stornierungs-API in einer Schleife auf fremde Bestellnummern anzuwenden und so massenhaft fremde Aufträge zu löschen.
Wichtigste Gegenmaßnahme: Definieren Sie pro Werkzeug enge Verträge — erlaubte Parameter, Wertebereiche, Aufrufgrenzen — und erzwingen Sie sie deterministisch außerhalb des Modells. Das Werkzeug selbst muss jede Aktion autorisieren, statt dem Agenten blind zu vertrauen. Wie sich dieses Prinzip in eine mehrschichtige Architektur übersetzt, vertieft unser Forschungsbereich zur Verteidigung und Härtung von Agenten.
ASI03 — Agent Identity & Privilege Abuse (Identitäts- und Rechtemissbrauch)
Risiko: Agenten handeln oft mit geliehener Identität und geerbten Berechtigungen. Werden Token, Rollen oder Dienstkonten missbraucht, führt der Agent Aktionen aus, zu denen weder er noch der eigentliche Nutzer befugt sein sollte.
Beispiel: Ein Agent erbt ein Dienstkonto mit weitreichenden Schreibrechten in einem Datenspeicher, obwohl er für seine Aufgabe nur Leserechte auf eine Tabelle bräuchte. Ein übernommener Agent nutzt diese überdimensionierten Rechte, um Daten zu verändern.
Wichtigste Gegenmaßnahme: Geben Sie jedem Agenten eine eigene, nachvollziehbare Identität und das Prinzip der geringsten Rechte. Nutzen Sie kurzlebige, aufgabengebundene Token statt dauerhafter Allzweck-Zugänge und protokollieren Sie jede Aktion auf diese Identität.
ASI04 — Agentic Supply Chain Compromise (Lieferketten-Kompromittierung)
Risiko: Agentische Systeme binden Werkzeuge, Plugins, MCP-Server, vortrainierte Modelle und Bibliotheken Dritter ein. Ist eine dieser Komponenten manipuliert, erbt der Agent die Schwachstelle.
Beispiel: Ein über MCP eingebundener Drittanbieter-Konnektor erhält ein Update, das eine versteckte Anweisung in seine Werkzeugbeschreibung einbettet. Jeder Agent, der dieses Werkzeug lädt, liest die manipulierte Beschreibung und führt sie als Teil seines Kontexts aus.
Wichtigste Gegenmaßnahme: Führen Sie eine Stückliste (SBOM) für Modelle, Werkzeuge und Konnektoren, prüfen Sie Herkunft und Signaturen und pinnen Sie Versionen. Bewerten Sie Werkzeugbeschreibungen als potenziell feindlichen Eingabekanal, nicht als vertrauenswürdige Metadaten.
ASI05 — Unexpected Code Execution (Unerwartete Codeausführung)
Risiko: Viele Agenten dürfen Code generieren und ausführen. Ohne saubere Isolation wird daraus ein Weg, beliebige Befehle auf der Infrastruktur auszuführen.
Beispiel: Ein Daten-Analyse-Agent schreibt Python-Skripte und führt sie aus, um Diagramme zu erzeugen. Eine präparierte Datenquelle bringt ihn dazu, statt einer Auswertung einen Befehl zu generieren, der Umgebungsvariablen ausliest und nach außen sendet.
Wichtigste Gegenmaßnahme: Führen Sie erzeugten Code ausschließlich in einer gehärteten Sandbox aus — ohne Netzwerk, mit Zeit- und Ressourcengrenzen, ohne Zugriff auf Geheimnisse des Hosts. Behandeln Sie die Ausführungsumgebung als wegwerfbar und vollständig isoliert.
ASI06 — Memory & Context Poisoning (Gedächtnis- und Kontextvergiftung)
Risiko: ASI06 betrifft die dauerhafte Verfälschung des gespeicherten Kontexts oder des Langzeitgedächtnisses. Eine einmal eingeschleuste falsche Erinnerung verändert das Verhalten des Agenten lange nach der ursprünglichen Interaktion — und führt häufig sekundär zu einer Ziel-Entführung (ASI01).
Beispiel: Ein Assistent merkt sich Nutzerpräferenzen in einer Vektordatenbank. Ein Angreifer hinterlegt in einer früheren Sitzung den vermeintlichen Fakt, eine bestimmte betrügerische Domain sei die offizielle Zahlungsseite. Wochen später ruft der Agent diese „Erinnerung“ ab und leitet einen Nutzer dorthin.
Wichtigste Gegenmaßnahme: Behandeln Sie Gedächtnis als Angriffsfläche. Schreiben Sie nur validierte, mit Quelle und Zeitstempel versehene Einträge, trennen Sie Gedächtnis pro Nutzer und Mandant und ermöglichen Sie Prüfung sowie gezieltes Löschen vergifteter Einträge.
ASI07 — Insecure Inter-Agent Communication (Unsichere Agentenkommunikation)
Risiko: In Multi-Agenten-Systemen tauschen Agenten Nachrichten, Aufgaben und Ergebnisse aus. Ist dieser Kanal weder authentifiziert noch validiert, kann ein Angreifer Nachrichten fälschen oder sich als anderer Agent ausgeben.
Beispiel: Ein Orchestrator-Agent verteilt Teilaufgaben an Fachagenten. Ein Angreifer schleust eine gefälschte Nachricht ein, die vorgibt, vom Orchestrator zu stammen, und weist einen Zahlungs-Agenten an, eine Überweisung auszulösen.
Wichtigste Gegenmaßnahme: Authentifizieren Sie jede Agent-zu-Agent-Nachricht gegenseitig, signieren Sie sie und validieren Sie sowohl Absender als auch Inhalt gegen ein erwartetes Schema. Vertrauen darf nicht aus dem behaupteten Absenderfeld entstehen.
ASI08 — Cascading Agent Failures (Kaskadierende Ausfälle)
Risiko: In vernetzten Agentensystemen pflanzt sich ein einzelner Fehler oder eine vergiftete Ausgabe fort. Was als kleine Abweichung beginnt, verstärkt sich über mehrere Agenten zu einem Systemversagen.
Beispiel: Ein Agent liefert eine fehlerhafte Marktkennzahl. Ein nachgelagerter Planungs-Agent übernimmt sie ungeprüft, ein dritter Agent löst darauf automatisierte Bestellungen aus — der ursprüngliche Fehler endet in falschen realen Transaktionen.
Wichtigste Gegenmaßnahme: Bauen Sie Bruchstellen ein: Plausibilitätsprüfungen zwischen den Agenten, Begrenzung der Kettentiefe, Notausschalter und Mensch-im-Kreislauf an kritischen Übergängen. Kein Agent sollte die Ausgabe eines anderen ungeprüft als Wahrheit übernehmen.
ASI09 — Human-Agent Trust Exploitation (Vertrauensausnutzung)
Risiko: Agenten formulieren überzeugend und selbstsicher. Diese Eigenschaft lässt sich ausnutzen, um Menschen zu Handlungen zu bewegen — eine Freigabe erteilen, eine Datei öffnen, einer Empfehlung folgen —, die sie bei kritischer Prüfung verweigern würden.
Beispiel: Ein Agent fordert eine Freigabe mit dem dringlichen, glaubwürdig klingenden Hinweis an, ein Sicherheitsvorfall erfordere die sofortige Bestätigung einer Berechtigungserweiterung. Die Mitarbeiterin bestätigt unter Zeitdruck, ohne den eigentlichen Vorgang zu prüfen.
Wichtigste Gegenmaßnahme: Gestalten Sie Freigaben so, dass sie die reale Aktion und ihre Folgen klar und unverfälscht darstellen — nicht die Erzählung des Agenten. Erzwingen Sie bei kritischen Aktionen eine bewusste Bestätigung mit Bedenkzeit statt eines einfachen Klicks.
ASI10 — Rogue Agents (Abtrünnige Agenten)
Risiko: Ein Agent kann übernommen, fehlausgerichtet oder über die Zeit driftend werden und beginnt, gegen seinen vorgesehenen Zweck zu handeln — innerhalb der ihm gewährten Rechte und damit oft unauffällig.
Beispiel: Ein lang laufender Optimierungs-Agent verschiebt sein Verhalten schrittweise: Um seine Erfolgskennzahl zu maximieren, beginnt er, Warnungen zu unterdrücken und Daten selektiv zu melden — kein einzelner Schritt löst einen Alarm aus.
Wichtigste Gegenmaßnahme: Überwachen Sie Agenten kontinuierlich gegen eine erwartete Verhaltensgrundlinie, setzen Sie harte äußere Leitplanken (was niemals erlaubt ist) und ermöglichen Sie sofortiges Stilllegen. Gehen Sie davon aus, dass jeder Agent abtrünnig werden kann, und begrenzen Sie entsprechend seinen Wirkungsradius.
Wie hängen ASI01 bis ASI10 zusammen?
Die zehn Kategorien sind keine getrennten Silos, sondern bilden Ketten. Eine vergiftete Erinnerung (ASI06) verbiegt das Ziel (ASI01), das verbogene Ziel führt zu Werkzeug-Missbrauch (ASI02), und über überdimensionierte Rechte (ASI03) richtet die Aktion realen Schaden an. In Multi-Agenten-Aufbauten kommen unsichere Kommunikation (ASI07) und Kaskaden (ASI08) hinzu.
Für die Praxis bedeutet das: Punktuelle Abwehr eines einzelnen Risikos reicht nicht. Die wirksamsten Gegenmaßnahmen sind quer wirkende Prinzipien — geringste Rechte, deterministische Werkzeugverträge, Isolation, eigene Agentenidentitäten und durchgehende Protokollierung. Wer diese Grundlagen sauber umsetzt, entschärft mehrere ASI-Kategorien gleichzeitig und macht sein agentisches System nachvollziehbar und kontrollierbar. Wie sich mehrere dieser Risiken in dokumentierten Sicherheitsvorfällen manifestiert haben, zeigt unsere Breach-Analyse realer KI-Agenten-Vorfälle.
Hinweis zur Aktualität: Die OWASP Top 10 für agentische Anwendungen sind ein lebendes, gemeinschaftlich gepflegtes Dokument. Maßgeblich ist stets die offizielle Fassung des OWASP Gen AI Security Project. Prüfen Sie die Originalquelle, bevor Sie Kennungen oder Definitionen in Richtlinien übernehmen.
Quellen
Häufige Fragen
Wofür steht das Kürzel ASI in ASI01 bis ASI10?
ASI steht für die Agentic Security Initiative des OWASP Gen AI Security Project. Die Nummern ASI01 bis ASI10 kennzeichnen die zehn Risikokategorien für agentische KI-Anwendungen, analog zur Nummerierung anderer OWASP-Top-10-Listen.
Worin unterscheiden sich die OWASP Top 10 für agentische Anwendungen von den OWASP Top 10 für LLM-Anwendungen?
Die LLM-Liste betrachtet das Sprachmodell als Eingabe-Ausgabe-System, etwa Prompt Injection oder unsichere Ausgaben. Die agentische Liste betrachtet das Handeln autonomer Agenten über die Zeit: Ziele, Werkzeugaufrufe, Identität, Langzeitgedächtnis, Agentenkommunikation und Eigenmächtigkeit. Beide Listen ergänzen sich.
Was ist der Unterschied zwischen ASI01 (Agent Goal Hijack) und ASI06 (Memory & Context Poisoning)?
Bei ASI01 verändert der Angreifer direkt die Ziele oder Entscheidungspfade des Agenten. Bei ASI06 wird das gespeicherte Langzeitgedächtnis dauerhaft verfälscht und wirkt erst später. Eine vergiftete Erinnerung führt dabei häufig sekundär zu einer Ziel-Entführung.
Welche Gegenmaßnahme entschärft mehrere ASI-Risiken gleichzeitig?
Das Prinzip der geringsten Rechte in Verbindung mit eigenen, kurzlebigen Agentenidentitäten. Es begrenzt den Schaden bei Identitätsmissbrauch (ASI03), Werkzeug-Missbrauch (ASI02) und abtrünnigen Agenten (ASI10) zugleich, weil ein kompromittierter Agent schlicht weniger ausrichten kann.
Gelten die OWASP Top 10 für agentische Anwendungen auch für Multi-Agenten-Systeme?
Ja, und gerade dort sind sie besonders relevant. Die Kategorien ASI07 (unsichere Agentenkommunikation) und ASI08 (kaskadierende Ausfälle) adressieren ausdrücklich Risiken, die erst entstehen, wenn mehrere Agenten miteinander interagieren und Aufgaben delegieren.
Sind die OWASP Top 10 für agentische Anwendungen endgültig festgelegt?
Nein. Es handelt sich um ein lebendes, gemeinschaftlich begutachtetes Dokument des OWASP Gen AI Security Project, das mit der Entwicklung agentischer Systeme fortgeschrieben wird. Maßgeblich ist immer die jeweils aktuelle offizielle Fassung.