L’OWASP Top 10 for Agentic Applications 2026 identifica le vulnerabilità di sicurezza critiche nei sistemi AI autonomi. Questi sistemi operano pianificando, decidendo e agendo su task multipli attraverso orchestrazione complessa e autonomia multi-step. Le minacce derivano dall’interazione tra agenti, supply chain estese, memoria persistente e dalla possibilità di manipolare input e azioni. La protezione richiede controlli specifici per la natura autonoma degli agenti e la loro integrazione distribuita.
Le 10 vulnerabilità principali secondo OWASP
ASI01: Agent Goal Hijack
Gli attaccanti manipolano obiettivi, task o decisioni di un agente tramite indirect prompt injection, output ingannevoli di strumenti, documenti avvelenati, artefatti malevoli o dati esterni manipolati. L’agente, incapace di distinguere istruzioni legittime da contenuti tossici in linguaggio naturale, può deviare dagli scopi originali causando esfiltrazione di dati, azioni finanziarie fraudolente, override degli obiettivi tramite email e documenti, o produzione di informazioni false.
Mitigazioni: trattare ogni input come non attendibile, validare con meccanismi anti-prompt injection, applicare least privilege sugli strumenti, richiedere conferma per azioni ad alto impatto, audit dei cambi obiettivo, validazione runtime degli intenti, sanitizzazione delle sorgenti dati, logging e monitoraggio continuo, test red team sul goal override.
ASI02: Tool Misuse & Exploitation
Gli agenti possono utilizzare strumenti legittimi in modalità dannose a causa di prompt injection, misalignment o scarsa validazione. Questo include cancellazione di dati critici, chiamate ripetute e costose, invocazione di shell malevole, avvelenamento di dati tramite contenuti esterni, uso eccessivo di privilegi assegnati agli strumenti.
Mitigazioni: least privilege per tool, sandboxing, autenticazione su ogni azione, enforcement policy, gestione di credenziali effimere legate alla sessione, semantic validation, audit continuo su tutte le azioni dei tool e log immutabili.
ASI03: Identity & Privilege Abuse
L’ereditarietà e la delega di privilegi possono portare agenti a utilizzare credenziali per compiere azioni non autorizzate. Questo sfrutta gap tra sistemi di identità e design agentico (contesti di autenticazione, caching, cross-agent trust). I rischi includono abuso di ruolo tramite chain di delega, retention di chiavi in memoria, phishing tra agenti.
Mitigazioni: sandbox per sessione, limitare durata e scope delle credenziali, isolare le identità per agente, centralizzare autorizzazioni e approval su step privilegiati, binding degli intenti alle autorizzazioni, detection di escalation anomale o device-code phishing su agenti.
ASI04: Agentic Supply Chain Vulnerabilities
L’agente può essere esposto a componenti, strumenti, modelli o registri esterni dinamicamente caricati e potenzialmente malevoli o manipolati. Rischi come prompt template avvelenati, injection in metadata di tools, impersonazione di agenti o typo-squatting aumentano la superficie d’attacco.
Mitigazioni: firmare e attestare ogni componente tramite SBOM/AIBOM, sandboxare agenti, mutual authentication tra peer, continuous validation, pinning dei contenuti, meccanismo di kill switch per revoca emergenziale.
ASI05: Unexpected Code Execution (RCE)
Gli agenti che generano o eseguono codice sono esposti a exploit a causa di prompt injection, unsafe deserialization, uso di funzioni eval non sicure, installazione di package malevoli e comandi shell non validati. Gli scenari includono esecuzione di codice non prevista e compromissione persistente della macchina ospitante.
Mitigazioni: vietare eval in produzione, sandbox per codice, privilegi minimi, analisi statica dell’output generato, human approval su azioni critiche, analisi dinamica e blocklist di package sospetti.
ASI06: Memory & Context Poisoning
La memoria agentica persistente (vector database, sessioni, RAG store, riassunti, contesto condiviso) può essere contaminata da dati falsi o manipolati. Questo altera future decisioni, reasoning o tool selection, portando a errori sistemici e leak di dati tra utenti o sessioni.
Mitigazioni: cifratura e segmentazione della memoria, validazione e provenienza delle informazioni, isolamento dei contesti, minimizzare la retention, rollback su anomalie, decay di memorie non verificate e blocking del reinserimento automatico di output auto-generati.
ASI07: Insecure Inter-Agent Communication
Comunicazioni non autenticate o non integrate tra agenti espongono a replay, man-in-the-middle, spoofing, tampering, schema-forgery e inferenze su metadati. Mancando autenticazione forte e canali cifrati, agenti possono assumere ruoli e scopi malevoli, propagando attacchi nella rete.
Mitigazioni: cifratura end-to-end con credenziali per agente, firme digitali su messaggi, anti-replay, discovery e routing autenticato, politiche di versione e disablement dei protocolli deboli, verifica di agent descriptor e capability.
ASI08: Cascading Failures
Un singolo errore (hallucination, memory poisoning, tool compromise) si amplifica propagandosi tra agenti, strumenti e workflow, causando impatti sistemici su riservatezza, integrità e disponibilità. Rischio di retry oscillanti, feedback loop e escalation di danni senza controllo umano.
Mitigazioni: design zero-trust e resilienza, policy enforcement esterna, checkpoint e revisioni umane dove necessario, segmentazione, just-in-time credential, rate limiting, simulazioni ex-post per audit e policy gating, log tamper-evident.
ASI09: Human-Agent Trust Exploitation
La naturale propensione umana a fidarsi di agenti autonomi viene sfruttata mediante spiegazioni ingannevoli, manipolazioni emotive, perceived authority. Azioni pericolose sono così approvate dall’utente, sfuggendo ai controlli di sicurezza.
Mitigazioni: conferme multi-step, log immutabili, detection comportamentale, reporting di anomalie, adaptive trust calibration, enforcement di provenienza dati, separazione di preview/azione, visual cues e formazione anti-manipolazione.
ASI10: Rogue Agents
Agenti compromessi deviano e agiscono autonomamente in modo malevolo o collusivo, sfruttando gap di controllo per esfiltrare dati, orchestrare workflow illeciti, auto-replicarsi o sabotare sistemi. Il comportamento emergente diventa dannoso e difficile da contenere.
Mitigazioni: audit immutabili e firmati, trust zone e sandbox, behavioral monitoring, containment e revoca rapida, behavioral manifest firmati e verificati, reintegro solo dopo verifica e approval umano.
Mitigazioni trasversali e best practice
- Applicare always least privilege e least agency: ridurre autonomia e privilegi inutili per agenti e tool.
- Sanificare e validare qualsiasi input (prompt, tool, dati, documenti, canali di comunicazione).
- Usare sandbox e enforcement policy a ogni livello di azione e comunicazione tra agenti.
- Impostare logging esaustivo, tracciabilità, alerting su anomalie e test periodici (red teaming e digital twin replay).
- Integrare kill switch per revoca immediata, staged rollout, resilience delle dependency e governance di supply chain.
- Prevedere human-in-the-loop per azioni critiche e fuori policy, formazione continua e feedback sugli abusi di trust.
Riferimenti e approfondimenti
- OWASP Top 10 for Agentic Applications 2026 – documento ufficiale del progetto OWASP GenAI Security
- ASI Agentic Exploits & Incidents – repository GitHub con incidenti aggiornati e casi d’uso
La sicurezza dei sistemi agentici richiede mitigazioni mirate a limitare autonomia, isolare contesti, validare ogni canale e azione, monitorare segnali di devianza e reagire rapidamente tramite strumenti di auditing e controllo.