// HEISE ONLINE — INTELLIGENZA ARTIFICIALE
OWASP Top 10 für KI-Anwendungen: Risiken mit Daten belegt
Die neue Rangliste der größten Sicherheitsrisiken von KI-Anwendungen nennt wenig Neues. Die Relevanz der bestehenden Punkte unterfüttert OWASP nun mit Daten.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Die neue Ausgabe der OWASP Top 10 for LLM Applications, im Projekt als GenAI Top 10 geführt, liegt vor. In seinen Ranglisten führt die Non-Profit-Organisation OWASP die gravierendsten Software-Schwachstellen und informiert über die wichtigsten Gegenmaßnahmen.
Interessant ist bei der Neuauflage der KI-Schwachstellen weniger die Reihenfolge als das dahinterliegende Verfahren, denn die 2025er-Ausgabe beruhte allein auf Konsens: Brainstorming, Abstimmungen und Praxis-Feedback. Für 2026 glich das Projekt das Votum der Community mit Daten aus über 7700 Vorfällen aus öffentlichen Schwachstellendatenbanken und einer Datenbank für KI-Schadensfälle ab; davon waren über 6600 detailliert genug, dass Klassifikatoren sie den Risikokategorien zuordnen konnten.
Die Liste ist aber keine rein statistische Auswertung von Vorfällen. Die Abstimmung der Community macht drei Viertel des Gewichts aus, die Daten der KI-Schadensfälle das restliche Viertel. Dieses Viertel soll ausreichen, um einen Eintrag um eine Stufe zu verschieben, wenn Abstimmung und Daten weit auseinanderliegen. Im Alleingang soll die Datenlage die Liste nicht neu schreiben: OWASP bezeichnet sie als unvollkommen und spricht von einem einzigen„verrauschten“ Jahr an Daten.
Die Reihenfolge hat sich stärker verändert als in den Vorjahren, wobei die Spitze unangetastet bleibt. „LLM03:2026 Excessive Agency“ steigt von Platz sechs auf drei, laut Dokument die folgenreichste Bewegung der Liste, weil Votum und Vorfallsdaten übereinstimmen. Schäden fallen hier besonders im agentischen Betrieb an. "LLM06:2026 Unbounded Consumption" rückt vier Plätze vor und "LLM10:2026 „LLM10:2026 Improper Output Handling“ Handling" fällt von fünf auf zehn.
Aus „System Prompt Leakage“ wird „LLM08:2026 Hidden Context Exposure“, das neben dem System Prompt unter anderem Entwickleranweisungen, Policy-Text sowie Tool- und Funktionsschemas umfasst. Was OWASP als neuere und schärfere Risiken einordnet, benennen die bestehenden Einträge jetzt explizit: unter anderem cross-modale Injektion, manipulierte Fine-Tuning-Datensätze, unsicherer Code bei Programmierassistenten. Die Vorfälle dahinter seien immer schon real gewesen und zählten jetzt dort, wo sie hingehören.
In der Spitzenposition weicht die tatsächlich gewählte Reihenfolge allerdings von den Daten ab. „LLM01:2026 Prompt Injection“ würde auf Basis der Daten sogar aus den Top 10 herausfallen, bleibt aber auf Platz eins. Die Begründung: Weil an der Abwehr von Prompt Injection intensiv gearbeitet werde, gelangten weniger gelungene Exploits in die öffentlichen Datenbanken, als die Lage es hergeben würde. Doch die Angriffsfläche liege dennoch überall dort, wo ein Modell nicht vertrauenswürdige Eingaben liest. Im Eintragskapitel heißt es, es gebe derzeit keine verlässliche Prävention: Sprachmodelle trennen Anweisung und Daten nicht und verhalten sich stochastisch. Die Verteidigung setzt damit eine Abwehr voraus, die laut der Veröffentlichung der OWASP nicht verlässlich greift.
Bei „LLM07:2026 Misinformation“ läuft die Abweichung in die andere Richtung: Die Abstimmenden setzten den Eintrag nahe am Ende, die Daten nahe am Anfang. Es sei die größte Diskrepanz in der schädlichen Richtung: Votum niedrig, Belege hoch. Das Ergebnis ist ein Kompromiss auf Platz sieben. Folgt man den Daten, untertreibt die Top 10 dieses Risiko also.
Interessant ist, wo OWASP die Grenze zieht: Ist das Sprachmodell eine Komponente einer Anwendung, sollte man diese Liste zu Rate ziehen. Beim Einsatz als eigenständiger Akteur, mit Werkzeugen, Langzeitgedächtnis und Effekten in realen Systemen, verweist OWASP auf die Schwesterliste OWASP Top 10 for Agentic Applications 2026. Viele der kateg