3行でいうと

  • 2025年版の10項目は、プロンプトインジェクション、機密情報の漏えい、サプライチェーンなど。公式は各項目に対策を挙げている。
  • 公式の対策には、AIの出力を信用しない、権限を最小にする、重要な操作は人が承認する、が何度も出てくる。
  • 2026年版が2026年8月〜9月に公表された。公式の発表で確かめられたのは、順位の更新と「過剰な権限」が3位になったこと。

この記事は、実際に使って確かめた記録ではありません。この記事は、公式の文書を読んでまとめたものです。なお、ここで扱うのは安全対策の考え方の紹介で、個別のシステムの安全性を保証するものではありません。実際の設計や監査は、セキュリティの専門家に相談してください。

先に結論

前提：何の文書か、用語

10の危険を、普通の言葉で（2025年版）

各項目の名前と中身は、公式の各ページ（genai.owasp.org）で読みました。

LLM01 プロンプトインジェクション

AIに渡される文章が、作り手の意図しない形でAIの動きを変えてしまう問題です。公式ページは2種類に分けています。

人間には見えない形の入力でも、モデルが読み取れるなら影響しうる、とも書かれています。RAG（回答の前に、社内文書などを検索して材料にする仕組み）やファインチューニング（追加学習）でも、完全には防げないとされています。

対策として、公式ページは次を挙げています。

  1. システムプロンプトで役割や限界を決める。
  2. 出力の形を決め、決まりきったプログラムで検査する。
  3. 入力と出力にフィルターをかける。
  4. 最小権限にする。道具を使う機能は、AIに直接持たせずアプリ側のコードで扱う。
  5. 危険の大きい操作は、人の承認を必須にする。
  6. 外部から来た信用できない内容を、分けてはっきり表示する。
  7. 敵対的なテストを定期的に行い、モデルを「信頼できない利用者」として扱う。

LLM02 機密情報の漏えい

個人情報、財務情報、健康情報、社内の機密、認証情報、法務文書などが、AIの出力を通じて出てしまう問題です。公式ページは、学習や追加学習に使った機密、アプリがつなぐ外部データの両方を想定しています。

対策には、データの洗い出しと伏せ字化、入力の検査、アクセス制御（最小権限）、利用者への注意喚起と保存方針の公開、学習に使わせない選択肢の用意、などが挙がっています。差分プライバシー（個々のデータが特定されにくいよう、わざと雑音を混ぜる手法）や、連合学習（データを1か所に集めずに学習する手法）も紹介されています。

LLM03 サプライチェーン

サプライチェーンは、ここでは「自分で作っていない部品への依存」のことです。他人が作った学習済みモデル、データセット、ライブラリ、配布場所が対象です。公式ページは、通常のソフトウェアの弱点に加えて、第三者のモデルやデータが改ざん・汚染されうることを挙げています。

対策は、提供元の審査と再点検、古い部品の更新、第三者モデルを自分の用途で試験すること（公開された性能の数字は操作されうる、との注意つき）、部品表（SBOM、使っている部品の一覧）の管理、ライセンスの棚卸し、署名やハッシュ（ファイルの指紋）による入手元と改ざんの確認、などです。

LLM04 データとモデルの汚染

事前学習、追加学習、埋め込みのデータに、わざと悪い内容を混ぜ、弱点や裏口（特定の言葉で動き出す仕掛け）、偏りを作る攻撃です。外部のデータを使うほど危険が高い、とされています。共有サイトのモデルには、悪意あるコードが仕込まれることもあると書かれています。

対策は、データの出所と加工の記録、データ提供元の審査、未検証のデータの隔離、データのバージョン管理、攻撃を想定した試験（レッドチーム）、学習中の指標の監視などです。

LLM05 不適切な出力の扱い

AIの出力を、検査や無害化をせずに、後ろの仕組み（画面、データベース、他のシステム）に渡してしまう問題です。AIの出力は、プロンプトによって左右されうるので、結果としてAIを通じて追加の機能に触れられてしまう、と公式ページは説明します。起こりうる被害として、XSS（ページに悪い命令を紛れ込ませる攻撃）、SSRF（サーバーに別のサーバーへ勝手にアクセスさせる攻撃）、権限の昇格、バックエンドでの遠隔コード実行などが挙がっています。

対策は、AIを「信頼できない利用者」として扱う（公式は「ゼロトラスト」と表現）、出力を使う場所に合わせたエンコード、データベース操作にはパラメータ化クエリ、CSP（ブラウザに実行を許す範囲を絞る設定）、出力のログと監視です。

LLM06 過剰な権限

AIに、外部の機能（公式は「ツール、スキル、プラグイン」など呼び方は会社ごとに違う、と書いています）を呼び出す力を持たせると、AIの間違いや乗っ取りが、実際の被害につながります。原因として、公式ページは3つを挙げています。

対策は、AIに渡す機能を最小にする、「任意のシェルコマンドを実行」のような何でもできる機能を避ける、下流のシステムに渡す権限を最小にする、利用者本人の権限で動かす、影響の大きい操作は人が承認する、権限の確認はAIに頼らず下流のシステムで行う、です。ログ・監視・回数制限は、防ぐのではなく被害を小さくする役目だ、と明記されています。

LLM07 システムプロンプトの漏えい

システムプロンプトに、知られてはいけない情報が書かれていて、それが見つかってしまう問題です。公式ページは、システムプロンプトを「秘密」や「安全装置」とみなさないこと、と述べています。パスワードや接続情報を書いてはいけない、本当の問題は、権限の管理をAIに任せていることだ、という趣旨です。

対策は、機密をプロンプトの外に置く、重要な制御をプロンプトに頼らず外側のシステムで行う、AIとは別の仕組みで出力を検査する、権限の確認を決まりきったプログラムで行う、です。

LLM08 ベクトルと埋め込みの弱点

埋め込みは、文章を数字の並び（ベクトル）に変えたものです。RAGでは、この数字を使って関連する文書を探します。公式ページは、その作り方・保存・検索の弱点が、悪い内容の混入、出力の操作、機密の読み取りにつながると説明します。リスクとして、権限のないアクセス、別の文脈への情報漏れ、埋め込みから元の文章を復元される攻撃、汚染、動作の変化が挙がっています。

対策は、権限を考慮できる検索基盤（利用者グループごとにデータを厳密に分ける）、知識ベースに入れるデータの検証と出所の確認、データの分類、検索の記録の保存です。

LLM09 誤情報

AIが、もっともらしいが間違っている内容を出す問題です。原因の中心はハルシネーション（もっともらしい作り話）で、学習データの偏りや不足、そして利用者が確認せずに信じる「過信」が被害を広げる、とされています。

対策は、RAGで信頼できる情報に結びつける、人による確認と相互検証、重要な出力の自動検証、リスクの周知、AI生成物であることの表示、利用者教育などです。

LLM10 際限のない消費

利用者が、AIに無制限に処理をさせられてしまう問題です。処理が重い（クラウドではお金がかかる）ため、サービス停止、金銭的損害、モデルの盗用につながります。公式ページの例が2つあります。

対策は、入力サイズの制限、回数制限と上限、1人や1リクエストが資源を使いすぎないようにする、タイムアウト、確率の詳細（ロジット）をAPIで出しすぎない、使用量の監視、アクセス制御などです。

2026年版で変わったこと

2026年版：公式の発表で確認できたことと、できなかったこと

公式の資料で確認できたこと

  • OWASP GenAI Security Projectの発表（日付は2026年9月1日、本文は9月2日）は、「2026年版 LLMアプリのトップ10」を公表したと述べています。
  • 発表は、順位の更新、脅威の範囲の拡大、実際のAI安全上の事故の調査との照合、NIST・MITRE ATLAS・CWE・同プロジェクトの「Agentic Applications（AIエージェント）向けトップ10」への対応づけの拡大を挙げています。
  • 発表の中で名前が挙がった順位は、Excessive Agency（過剰な権限）が「3位」であることだけです。
  • 2026年版の配布ページの日付は2026年8月3日です。配布リンクは、僕らが開いたところ「アクセス権限がない」と表示され、本文は読めませんでした。
  • 10月23日に配布ページを読み直しましたが、読めたのは説明文とダウンロードの案内までで、10の項目名は載っていませんでした。ダウンロードのリンクが今開けるかは、確かめていません。

第三者の解説で読んだこと（公式で確かめていません）

次の一覧の項目名と順位は、2つの第三者の解説（Cloud Security Allianceの調査ノート、Superblocksのブログ）が一致して載せていたものです。「2025年版との関係」の列は、順位の移動を全項目について書いていたSuperblocksに主に基づきます。公式の本文で確かめていないので、参考として読んでください。

順位 2026年版の名前（解説による） 2025年版との関係（解説による）
1 Prompt Injection 変わらず
2 Sensitive Information Disclosure 変わらず
3 Excessive Agency 6位から上昇
4 Supply Chain 3位から
5 Data and Model Poisoning 4位から
6 Unbounded Consumption 10位から上昇
7 Misinformation 9位から上昇
8 Hidden Context Exposure System Prompt Leakageから、Superblocksは「改名」、CSAは「置き換え」と書く。範囲は広がったとされる
9 Vector and Embedding Weaknesses 8位から
10 Improper Output Handling 5位から

2つの解説は、順位づけに「専門家の合意」を75%、「6,639件の実際の事故の分析」を25%の重みで使ったとも書いています（Cloud Security Allianceの調査ノート）。これも公式の本文では確認できていません。

読み方・選び方

見立てです。10項目の対策を並べると、「AIが間違えても、乗っ取られても、被害が広がらない作りにする」という方向で、繰り返し同じ手が出てきます。権限を最小にする、重要な操作は人が承認する、権限の確認はAIでなくプログラムで行う、の3つです。これは、AIの賢さを上げる話ではなく、AIの周りの設計の話です。

見立てです。仕事で使う場面ごとに、重い項目は違うと思います。

使い方 先に読むと役立ちそうな項目
社内文書を検索して答えさせる（RAG） LLM02、LLM08、LLM01（間接）
外部のウェブやメールを読ませる LLM01（間接）、LLM05
AIに操作（送信、更新、購入）をさせる LLM06、LLM01、LLM05
外部のモデルやライブラリを組み込む LLM03、LLM04
利用者に公開するサービス LLM10、LLM07、LLM09

見立てです。使っているだけの人（開発者でない人）にも、役に立つ部分はあります。AIに読ませるファイルやウェブページに書かれた文章が、AIの動きを変えうる（間接のプロンプトインジェクション）ことは、LLMを使う側の注意点です。AIに大きな権限（メール送信、ファイル削除など）を渡すときに、人の承認を残すのは、公式の対策そのものです。

よくあるつまずき

見立てです。

気をつけること

出典

更新履歴