OWASP LLM Top 10 Adopt
Überblick
Das OWASP Top 10 für Large Language Model Applications ist ein Community-Standard für die kritischsten Security-Risiken bei LLM-Software. Die 2025-Ausgabe hat System Prompt Leakage sowie Vector and Embedding Weaknesses aufgenommen, Denial of Service zu Unbounded Consumption erweitert, Excessive Agency wegen agentischer Architekturen ausgebaut, Training Data Poisoning in Data and Model Poisoning umbenannt und Prompt Injection auf LLM01 belassen (OWASP LLM Top 10 2025 PDF); agentenspezifische Risiken haben inzwischen eine eigene Top 10 for Agentic Applications (OWASP Top 10 for Agentic Applications for 2026).
Adopt als Baseline-Threat-Model für jedes LLM- oder Agent-Projekt in Design Review, Vendor Assessment und Red Teaming. Jedes Item wird auf konkrete Controls in Application-, Data- und Operations-Schicht gemappt, statt das Dokument als Audit-Tapete zu behandeln.
Adoptionssignale
- Die aktuelle Liste von 2025 reicht von LLM01 Prompt Injection bis LLM10 Unbounded Consumption und wird vom OWASP GenAI Security Project gepflegt, in das das ursprüngliche Top-10-Projekt aufgegangen ist (OWASP GenAI Security Project, OWASP project page).
- OWASP veröffentlichte am 9. Dezember 2025 eine eigene Top 10 for Agentic Applications for 2026, gemeinsam mit mehr als 100 Fachleuten aus Industrie, Forschung und Praxis erarbeitet, für Agenten, die autonom planen und handeln (OWASP GenAI Security Project).
- AWS hat eine Defense-in-Depth-Anleitung für generative KI-Anwendungen auf AWS veröffentlicht, die entlang der OWASP Top 10 for LLMs aufgebaut ist (Januar 2024, auf Basis der Liste von 2023) (AWS Machine Learning Blog).
- Das Open-Source-Red-Teaming-Tool Promptfoo bietet ein OWASP-LLM-Top-10-Preset, das jede Kategorie testet und Findings pro Kategorie von LLM01 bis LLM10 ausweist (Promptfoo docs).
Risiken
- Wer die Top 10 als vollständig behandelt, übersieht organisationsspezifische Threats und Business-Logic-Abuse.
- Generische Mitigations decken multimodale oder Tool-Agent-Angriffsflächen nicht ab.
- Documentation Drift, wenn Engineering schneller shipt als Security Mappings aktualisiert.
- Über-Klassifikation aller AI-Issues unter LLM Risks vernachlässigt klassisches AppSec.
Vorteile & Nachteile
Vorteile
- Liefert gemeinsames Vokabular für LLM-spezifische Risiken von Prompt Injection bis Supply Chain.
- Die 2025-Liste ergänzt System Prompt Leakage sowie Vector and Embedding Weaknesses, erweitert Denial of Service zu Unbounded Consumption und wird von einer Top 10 für agentische Anwendungen flankiert.
- Die IDs LLM01 bis LLM10 werden in Cloud-Security-Guidance genutzt und sind in Red-Teaming-Tools wie Promptfoo eingebaut.
Nachteile
- Checklisten-Nutzung ohne Threat Modeling erzeugt Checkbox-Compliance ohne echte Controls.
- Schreibt keine konkreten Implementierungen vor; Teams müssen Risiken auf den Stack mappen.
- Angreifer-Taktiken ändern sich schneller, als die Liste überarbeitet wird; kontinuierliches Monitoring bleibt nötig.
Empfehlung
Die OWASP LLM Top 10 sind als Adopt eingestuft und sollten Pflicht-Input für das Architecture Review jedes GenAI-Features sein. Sinnvoll ist eine lebende Control Matrix mit Tests, Monitoren und Ownern pro Risiko. Mappings werden bei neuen Agents, Tools oder Datenquellen aktualisiert; für Agenten, die Tools aufrufen oder selbständig handeln, gilt zusätzlich die Top 10 for Agentic Applications.
Quellen
- OWASP Top 10 for LLM Applications
- OWASP LLM Top 10 2025 PDF
- OWASP GenAI Security Project
- OWASP GenAI Security Project: LLM Top 10 2025
- OWASP AI Exchange
- OWASP Top 10 for Agentic Applications for 2026
- AWS: defense-in-depth for generative AI using the OWASP Top 10 for LLMs
- Promptfoo OWASP LLM Top 10 red teaming
Beratung
Vom Radar zur Umsetzung
Du hast Technologien bewertet — wir helfen dir, sie sicher und messbar in produktive Systeme zu bringen.
