OWASP publicó un Top 10 específico para aplicaciones agentic en 2026. El cambio es significativo: los riesgos ya no se centran solo en lo que un modelo dice, sino en lo que un agente puede hacer, recordar, delegar y ejecutar mediante herramientas.

Los cinco primeros riesgos

OWASP identifica ASI01 Agent Goal Hijack, ASI02 Tool Misuse & Exploitation, ASI03 Identity & Privilege Abuse, ASI04 Agentic Supply Chain Vulnerabilities y ASI05 Unexpected Code Execution. Estos riesgos cubren desde el secuestro del objetivo por instrucciones maliciosas hasta abuso de herramientas, privilegios o componentes de terceros.

Para una empresa la consecuencia es clara: el modelo no puede ser el único control de seguridad. Las herramientas y servicios deben hacer cumplir sus propias reglas.

Memoria, agentes y propagación

ASI06 Memory & Context Poisoning aborda el riesgo de que información manipulada persista y afecte tareas futuras. ASI07 Insecure Inter-Agent Communication analiza mensajes o identidades de agentes no confiables. ASI08 Cascading Failures cubre cómo un fallo inicial puede propagarse y amplificarse por un sistema autónomo.

Estos riesgos aparecen especialmente en arquitecturas con múltiples agentes, memoria persistente y herramientas dinámicas.

Confianza humana y agentes rogue

ASI09 Human-Agent Trust Exploitation recuerda que una respuesta segura y convincente puede llevar a una persona a aprobar algo peligroso. ASI10 Rogue Agents cubre agentes comprometidos o desalineados que actúan de forma dañina mientras parecen legítimos.

Por eso las interfaces de aprobación deben mostrar suficiente contexto y no convertir al humano en un simple botón de «Aceptar».

Cómo utilizar el Top 10

El valor del marco está en utilizarlo durante threat modeling, diseño de permisos, selección de herramientas y pruebas. Revisa cada riesgo frente a tu arquitectura y documenta controles preventivos, detectivos y de respuesta.

No todos los agentes tienen el mismo nivel de riesgo. Un asistente que solo lee documentación requiere controles diferentes a uno con acceso a pagos, código o infraestructura.

Preguntas frecuentes

¿El OWASP Agentic Top 10 sustituye al OWASP Top 10 web?

No. Son marcos complementarios. Una aplicación agentic sigue teniendo riesgos tradicionales de autenticación, inyección, APIs y software además de riesgos específicos de IA.

¿Sirve para sistemas que no son totalmente autónomos?

Sí. Si una aplicación usa herramientas, memoria, agentes o acciones delegadas, varias categorías pueden ser relevantes aunque exista supervisión humana.