LecturaEl mapa de riesgos: OWASP Top 10 for Agentic Applications 2026
El 9 de diciembre de 2025, el OWASP GenAI Security Project publicó el OWASP Top 10 for Agentic Applications, edición 2026, con identificadores del ASI01 al ASI10. No reemplaza al OWASP Top 10 for LLM Applications: lo extiende. El agéntico mira lo que pasa cuando el modelo planea, usa herramientas, guarda memoria y habla con otros agentes.
No los mezcle en un informe. El de LLM tiene su propia edición 2026, publicada en agosto de 2026, y en ella la agencia excesiva subió al tercer puesto, así que un «LLM06» a secas ya es ambiguo: escriba la edición, como hace OWASP («LLM06:2025»). Un «ASI03», en cambio, solo puede ser del documento agéntico.
Los diez riesgos
Los nombres van en inglés, como en el documento oficial; los ejemplos son ficticios.
| ID | Nombre oficial | De qué se trata | Cómo se ve con MCP |
|---|---|---|---|
| ASI01 | Agent Goal Hijack | Contenido que el agente lee le cambia el objetivo | Un ticket trae instrucciones y el agente cierra otros tickets |
| ASI02 | Tool Misuse and Exploitation | Una herramienta permitida se usa de forma insegura | La búsqueda de clientes se usa para bajar la base completa |
| ASI03 | Identity and Privilege Abuse | El agente actúa con más permisos de los debidos | El servidor del ERP usa una cuenta de administrador para todos |
| ASI04 | Agentic Supply Chain Vulnerabilities | Herramientas o servidores de terceros comprometidos | Un paquete MCP que se actualiza solo, sin revisión |
| ASI05 | Unexpected Code Execution (RCE) | Código generado que corre sin aislamiento | El agente escribe un script y lo ejecuta en la laptop |
| ASI06 | Memory & Context Poisoning | Memoria envenenada que guía decisiones futuras | Una nota falsa en la memoria del agente se usa días después |
| ASI07 | Insecure Inter-Agent Communication | Mensajes entre agentes sin autenticar o alterables | El agente de compras obedece a un falso agente de inventario |
| ASI08 | Cascading Failures | Un fallo pequeño se propaga por la cadena | Un dato mal leído dispara pedidos en tres sistemas |
| ASI09 | Human-Agent Trust Exploitation | El agente se vale de la confianza de la persona para que apruebe sin verificar | Un motivo convincente, un aviso sin destinatario, y alguien acepta |
| ASI10 | Rogue Agents | Un agente se desvía de su función y sigue por su cuenta | Sigue enviando archivos afuera aunque ya se quitó la fuente maliciosa |
Cómo usar el mapa
El orden no es una escala de gravedad: es vocabulario común, y en una revisión real casi nunca aparece un riesgo solo. El laboratorio de esta píldora junta tres: un servidor de terceros que trae una herramienta envenenada (ASI04), que intenta secuestrar la tarea del agente (ASI01) y que solo hace daño porque otro servidor tiene más alcance del necesario (ASI03). Se reporta la cadena, no tres hallazgos sueltos.
Ante un sistema agéntico nuevo, yo pregunto en este orden: qué servidores tiene (ASI04), con qué identidad corre cada uno (ASI03) y qué acciones ocurren sin que nadie las vea (ASI09).