短答案
OWASP Top 10 for LLM Applications 是一份社区维护的清单，列出基于大语言模型构建的应用中最重要的安全风险。当前版本是 OWASP GenAI 安全项目于 2026 年 8 月 4 日发布的 2026 版。
按顺序，2026 版十大风险依次为：提示词注入、敏感信息泄露、过度授权、供应链风险、数据与模型投毒、无限制资源消耗、错误信息、隐藏上下文暴露、向量与嵌入弱点，以及不当输出处理。
与 2025 版相比，最大的变化是：过度授权从第六位升至第三位，无限制资源消耗从第十位升至第六位，不当输出处理从第五位降至第十位，系统提示词泄露则扩展为范围更广的隐藏上下文暴露。
说明：OWASP 尚未发布 2026 版的官方中文译本。本文中的条目中文名称为本站译名，表格中同时保留英文原名。
如果想先了解基础概念，请阅读什么是提示词注入；如果想看具体的防护步骤，请阅读如何降低提示词注入风险；如果关注 MCP，请阅读MCP 安全最佳实践。
OWASP LLM Top 10 是什么
它是由 OWASP GenAI 安全项目维护的 AI 应用安全优先级框架。它不是法律，不是认证，也不是完整的安全方案，而是一张帮助开发者、安全团队和运营人员尽早提出正确问题的风险地图。
2026 版划出了一条清晰的边界：这份清单针对的是作为应用组件的模型。一旦模型成为“行动者”，能调用工具、在会话之间保留记忆并触发下游动作，OWASP 建议参考其单独发布的智能体应用十大风险（Top 10 for Agentic Applications），并把两份清单结合起来阅读。
OWASP 负责给出类别，NIST 的生成式 AI 风险框架更适合提供治理语言，MITRE ATLAS 适合分析攻击路径。真正把清单变成控制措施和测试，仍然要靠你的工程流程。
2026 版十大风险的通俗解释
下表概括了 2026 版的每一项。描述为对 OWASP 原文的转述，完整细节、示例与缓解措施请参阅官方文件。
| OWASP 项 | 通俗含义 | 为什么重要 |
|---|---|---|
| LLM01 提示词注入（Prompt Injection） | 输入以开发者未预期的方式改变模型行为，可能来自用户文本、网页、文件、工具输出、图片或音频。 | 模型无法可靠地区分指令与数据，因此没有一劳永逸的修复方法。2026 版新增了藏在图片或音频中的跨模态攻击。 |
| LLM02 敏感信息泄露（Sensitive Information Disclosure） | 私有、机密或受监管的数据通过回答、工具调用参数、日志、推理过程或嵌入向量泄露。 | 把 AI 带来的便利变成数据泄露事件。 |
| LLM03 过度授权（Excessive Agency） | 拥有工具的模型在意外、含糊或被操纵的输出驱动下执行了有害操作。 | 功能、权限或自主性过大，会把很小的模型错误放大成真实损失。 |
| LLM04 供应链风险（Supply Chain） | 风险来自第三方模型、数据集、适配器、转换流水线和平台。 | 团队依赖并非自己构建的组件；2026 版新增了“名不副实”的模型制品。 |
| LLM05 数据与模型投毒（Data and Model Poisoning） | 训练、微调、嵌入或检索数据被篡改，以植入后门或偏差。 | 投毒可能造成难以察觉的持久性行为；该项现已涵盖微调破坏。 |
| LLM06 无限制资源消耗（Unbounded Consumption） | 对模型的使用缺乏控制，导致服务中断、成本失控或模型被克隆。 | 推理模型、多模态输入和智能体工具调用，让攻击者能以很低的成本触发高昂计算。 |
| LLM07 错误信息（Misinformation） | 错误或缺乏依据的输出听起来足够可信，进而驱动决策、工作流或智能体动作。 | 过度依赖会把错误的回答变成错误的行动。 |
| LLM08 隐藏上下文暴露（Hidden Context Exposure） | 系统提示词、开发者指令、检索到的策略文本或工具定义等隐藏上下文被提取或还原。 | 取代“系统提示词泄露”。应假设隐藏上下文可被发现，绝不在其中存放密钥，也不要把它当作安全边界。 |
| LLM09 向量与嵌入弱点（Vector and Embedding Weaknesses） | 针对 RAG 系统、向量记忆和语义缓存中嵌入与相似度检索的攻击。 | 可能在用户之间泄露数据或操纵检索结果；OWASP 将其与提示词注入区分开来。 |
| LLM10 不当输出处理（Improper Output Handling） | 模型输出未经验证就进入浏览器、数据库、Shell、终端或工具。 | 可能导致 XSS、SSRF、权限提升或代码执行；该项现已涵盖 AI 生成的不安全代码。 |
与 2025 版相比有哪些变化
十个风险领域全部保留，没有新增、删除、合并或拆分。变化在于排名、一个名称，以及排名背后的依据。
| 2026 项 | 2025 排名 | 变化 |
|---|---|---|
| LLM01 提示词注入 | LLM01 | 不变 |
| LLM02 敏感信息泄露 | LLM02 | 不变 |
| LLM03 过度授权 | LLM06 | 上升 3 位 |
| LLM04 供应链风险 | LLM03 | 下降 1 位 |
| LLM05 数据与模型投毒 | LLM04 | 下降 1 位 |
| LLM06 无限制资源消耗 | LLM10 | 上升 4 位 |
| LLM07 错误信息 | LLM09 | 上升 2 位 |
| LLM08 隐藏上下文暴露 | LLM07 系统提示词泄露 | 更名并扩展 |
| LLM09 向量与嵌入弱点 | LLM08 | 下降 1 位 |
| LLM10 不当输出处理 | LLM05 | 下降 5 位 |
首次用真实事件数据检验排名
以往版本只依据从业者投票排序。2026 版中，OWASP 从公开漏洞数据库和一个 AI 危害数据库收集了 7,714 起真实事件，对其中信息足够详细的 6,639 起进行分类，并与投票结果对比。最终排名中，社区投票占四分之三权重，事件数据占四分之一。
有两个结果值得注意。如果只看原始事件数量，提示词注入会掉出前十；OWASP 仍将其列为第一，理由是各团队对它防御得非常严密，因此进入公开数据库的成功利用案例偏少。错误信息则正好相反：投票排名靠后，事件记录却排名靠前，这把它拉升到了第七位。
原有条目的范围扩大
- 提示词注入现在涵盖跨模态攻击，例如藏在图片或音轨中的指令。
- 供应链风险现在涵盖“名不副实”的已发布模型制品。
- 数据与模型投毒现在纳入了微调破坏。
- 不当输出处理现在包括 AI 助手生成的不安全代码。
隐藏上下文暴露（LLM08:2026）解读
隐藏上下文暴露取代了 2025 版的“系统提示词泄露”。OWASP 将其描述为针对同一类失误的更宽泛框架：攻击者提取、推断或还原任何隐藏的上下文，包括系统提示词、开发者指令、检索到的策略文本、工具与函数定义，以及在后台拼装的其他指令。
它不包括受监管的用户数据或训练数据泄露，这些仍属于敏感信息泄露（LLM02）。持久记忆、智能体之间的消息等智能体特有的情形，则归入智能体应用十大风险。
实践建议很简单：假设隐藏上下文中的任何内容都可能被发现。绝不要在其中存放凭证或密钥，也不要把它当作安全边界。
大多数团队最该先处理的四类风险
每个系统都不同，但对许多生产团队来说，最值得优先处理的是 LLM01、LLM02、LLM03 与 LLM10：提示词注入、敏感信息泄露、过度授权与不当输出处理。它们与本文在 2025 版编号下推荐的四类风险相同，也最贴近日常工作流、连接的工具与私有数据。
提示词注入关注“外部内容会不会变成指令”，2026 版还明确指出指令可能藏在图片或音频里。敏感信息泄露提醒你“模型有没有说出不该说的话”。过度授权是 2026 版上升最多的一项，问的是“模型一旦被误导，到底能造成多大破坏”。不当输出处理虽然降到第十位，但只要你的产品会把模型输出传入浏览器、查询、Shell、终端或工具调用，它仍然是最先要检查的问题之一。
想深入了解，可以阅读间接提示词注入、视觉提示词注入与提示词注入与越狱的区别。
如何正确使用这张风险地图
最糟糕的用法，是把它变成一张“我们都想过了”的勾选表。真正有价值的用法，是拿它驱动设计评审、权限设计、红队测试与安全验证。
- 把每个功能映射到它实际触及的 OWASP 项目
- 优先处理会在你工作流里造成真实损害的风险，而不是最容易拿来写 PPT 的那一项
- 追问模型在哪里读取不受信文本、在哪里可能泄露私有数据、在哪里输出会被直接信任、在哪里还能执行动作
- 如果模型能调用工具或保留记忆，请同时参考智能体应用十大风险
- 用高风险对抗样本测试真实流程，而不是把书面策略当成安全证明
OWASP 负责给你类别，NIST 更适合提供项目级风险治理语言，而红队 / 对抗评估负责证明控制是否真的有效。三者应该相互配合，而不是互相替代。
Veridicus Scan 在其中的位置
没有任何单一产品能解决整个 OWASP Top 10，Veridicus Scan 也不例外。它最适合作为 AI 输入内容的摄入前检查：在网址、PDF、DOCX、图片或提取的文本进入 LLM 工作流之前，先确认其中是否藏有指令。
按 2026 版的分类，Veridicus Scan 与 LLM01 提示词注入最相关，包括藏在图片中的指令。在文档进入知识库之前进行检查，也有助于防范 LLM05 数据与模型投毒和 LLM09 向量与嵌入弱点。减少进入智能体的可疑内容有助于控制 LLM03 过度授权的影响，但不能替代工具权限或人工审批。它是地图中的一项控制，而不是整张地图。
相关页面：扫描范围、URL 扫描、报告与导出、MCP 自动化。
主要来源
本页的清单、排名、事件数据与定义均来自 OWASP 2026 版官方文件。文中内容为转述，引用具体细节前请阅读官方原文。
- OWASP GenAI LLM Top 10 2026（官方发布页）
- OWASP LLM Top 10 2026 GitHub 原文
- OWASP 智能体应用十大风险（2026）
- OWASP 2026 版发布公告（2026 年 9 月 1 日）
- OWASP LLM 应用十大风险 2025（上一版）
常见问题
什么是 OWASP Top 10 for LLM Applications？
它是 OWASP GenAI 安全项目维护的社区风险清单，列出 LLM 与生成式 AI 应用中最主要的安全风险。当前版本是 2026 年 8 月 4 日发布的 2026 版。
2026 版有哪些变化？
过度授权从第六位升至第三位，无限制资源消耗从第十位升至第六位，错误信息从第九位升至第七位，不当输出处理从第五位降至第十位。系统提示词泄露更名并扩展为隐藏上下文暴露。排名也首次用真实事件数据进行了检验。
它只讨论提示词注入吗？
不是。提示词注入只是十项之一，清单还涵盖敏感信息泄露、过度授权、供应链风险、数据与模型投毒、无限制资源消耗、错误信息、隐藏上下文暴露、向量与嵌入弱点以及不当输出处理。
什么是隐藏上下文暴露？
它是 2026 版的 LLM08，取代了系统提示词泄露，指攻击者提取或还原系统提示词、开发者指令、检索到的策略文本和工具定义等隐藏上下文。OWASP 建议不要在其中存放密钥，也不要把它当作安全边界。
OWASP 能替代威胁建模或测试吗？
不能。OWASP 是优先级框架，不是完整安全方案。团队仍然需要威胁建模、权限设计、红队测试与运营复核。
一次扫描与 OWASP 风险的关系
本指南采用 OWASP 大语言模型应用十大风险 2026 版。示例扫描演示了与 LLM01:2026（提示词注入）相关的指令覆盖短语检测，并不代表覆盖全部 OWASP 风险。检查文件证据只是一项输入控制；访问控制、输出处理、人工批准与应用测试仍需分别落实。