検索機能付きチャットボット、メールの要約、社内文書を探すアシスタント。こうしたAI機能は便利ですが、AIが文章を返すだけでなく、検索・API呼び出し・ファイル操作まで行うようになると、従来のWebアプリとは違う事故が起こります。
📑目次
たとえば、Webページやメールに紛れ込んだ指示をAIが本物の命令として扱う、社内の秘密を回答に含める、必要以上に強い権限で処理を実行する、AIの出力を検証せずHTMLやSQLに渡す、といったケースです。見た目は「チャットの返事」でも、裏側の処理まで考えないと被害が広がります。
こうしたAIアプリの代表的なリスクを10のテーマに整理した資料が、OWASPの GenAI LLM Top 10 2026 です。ここでいうLLMとは、文章を理解・生成する大規模言語モデルのことです。OWASPは、WebやAIアプリの安全性に関する資料を公開しているコミュニティです。「Top 10」は製品の点数や、10個すべてをすぐ実装するための規格ではありません。まず何を確認すべきかを知るための地図です。
この記事では、2026年8月4日に公開されたこの資料を、学習と設計の基準となる現行版として扱います。以降では、長い正式名称を毎回覚えなくても済むよう、各テーマを「何が起きるか」と「最初に何を見るか」に分けて説明します。
まず「最新の基準資料」と補助資料を分ける
基準資料と補助資料の切り分け
日本語で読める 1.1 世代の翻訳と、Web アプリケーション向け公式の OWASP Top 10 2025 は、どちらも補助資料です。Web 版は LLM に触れますが、LLM 専用の 10 項目を置き換えるものではありません。NTTデータ先端技術の 解説コラム（茂木、2026-03-10）も、公式本文ではなく、両者の接点を確認するための二次資料です。
読む順番は、現行版の確認、2025 年版との差分確認、既存 Web 対策との重ね合わせ、役割別の実行、の 4 段階です。最後に、自社機能の「入力・ツール・出力」の 3 マスと、今週読む公式項目を 1 枚にまとめます。
最初の 1 時間は、用語の暗記ではなく資料の確認に使います。レガシーの OWASP プロジェクトページは歴史的な入口です。学習の起点は genai.owasp.org の 2026 公開物と、正規ソースである GitHub の 2026/final/ に置きます。
公開日と「awareness document」の意味
GitHub README では公開日が 2026-08-04、掲載ページでは 2026-08-03 と表示されます。いずれも 10 項目のリストです。
レガシープロジェクトページには、専門家 600 名超、約 8,000 会員というコミュニティ規模の説明があります。ただし、学習の前提として覚える必要はありません。
Top 10 は「何に注意すべきか」をそろえる awareness document で、実装要件書ではありません。具体的な検証項目は ASVS、組織の管理項目は任意の NIST AI RMF に分けて考えます。
最初の4手順
最初の手順は次の 4 つです。
- 2026 公開ページを開き、レガシープロジェクトページを正本にしない。
- 10 項目の名前だけを書き出す。定義文を写経しない。
- 自社アプリが入力境界、出力利用、ツール実行のどれを持つか印を付ける。
- 手元の 1.1 メモがあれば破棄するか、版ラベルを付けて隔離する。
Prompt Injection を最初に押さえる
Prompt Injection では、モデルが命令とデータを完全には分離できません。そのため、SQL のプレースホルダーのように、入力を置き換えるだけで解決する単一の対策はありません。Web ページ、メール、RAG、MCP の出力など、利用者が直接見ない経路からも間接注入が起こります。最初からこの前提を置くと、対策を「入力欄のサニタイズ」だけで終わらせずに済みます。
2026年版の10項目を、リスクと確認点で読む
まずは「何が起きるか」をつかむ
OWASP GenAI LLM Top 10 2026 の各ページは、項目名だけでなく、攻撃・失敗が起きる場所と、被害を小さくする考え方を確認するための資料です。最初から長い定義を暗記せず、次の表で自社の機能に関係する項目を見つけてください。項目名から公式 Markdown に移動できます。
| 順位・公式資料 | 平たく言うと | 最初に確認すること |
|---|---|---|
| LLM01 Prompt Injection | 命令とデータの境界を利用され、モデルの動作を誘導される | ユーザー入力だけでなく、Web・メール・RAG・MCPの出力も命令になり得るか |
| LLM02 Sensitive Information Disclosure | 回答、ツール引数、検索結果、ログなどから秘密や個人情報が漏れる | 何を検索・表示・記録してよいかを、取得前と出力後の両方で制御しているか |
| LLM03 Excessive Agency | エージェントの機能・権限・自律性が大きすぎ、誤操作の被害が広がる | ツールを最小化し、権限・実行回数・人の承認を設計しているか |
| LLM04 Supply Chain | モデル、データ、アダプター、依存部品、変換工程などに改ざんや信頼性の問題が入る | 入手元、ライセンス、ハッシュや署名、更新経路を記録・検証しているか |
| LLM05 Data and Model Poisoning | 学習・微調整・埋め込み・RAGのデータが汚染され、モデルや検索結果が偏る | データの出所、検査、承認、再学習・ロールバックの手順があるか |
| LLM06 Unbounded Consumption | 推論、トークン、ツール呼び出しが膨らみ、停止・高額請求・モデル情報の流出につながる | 入力長、出力長、時間、費用、ループ回数に上限と遮断策があるか |
| LLM07 Misinformation | もっともらしい誤情報が、人や後続システムの判断を動かす | 根拠の提示、最新情報との照合、棄却・人手確認の条件を決めているか |
| LLM08 Hidden Context Exposure | システムプロンプト、ツール定義、内部ルールなど、利用者に見せない文脈を抜かれる | 隠し文脈を秘密や認可の境界にせず、漏れても致命傷にならない設計か |
| LLM09 Vector and Embedding Weaknesses | ベクトル検索の仕組みを悪用され、別利用者の文書が混ざる、漏れる、検索を妨害される | テナント分離、検索前の認可、フィルター、埋め込みデータの監視があるか |
| LLM10 Improper Output Handling | モデルの出力を検証せず、HTML・SQL・シェル・別ツールへ渡してしまう | スキーマ検証、用途別エスケープ、許可リスト、人の承認を通しているか |
3つの経路に重ねる
表を読んだら、機能のデータフローに重ねます。たとえば、次のように考えると項目同士の違いが見えます。
- 入力からモデルまで: ユーザー文、検索結果、メール、画像などが命令として作用しないかを LLM01 で見る。秘密を同じ文脈に入れるなら LLM02、隠しルールに依存するなら LLM08 も確認する。
- 検索から文脈まで: RAG やエージェントメモリを使うなら、データの汚染を LLM05、検索の境界を LLM09、取得した秘密を LLM02 で見る。
- モデルから外部システムまで: ツールの機能・権限・自律性を LLM03、回数や費用を LLM06、HTML・SQL・コマンドなどへの受け渡しを LLM10 で見る。回答の正しさが判断を左右するなら LLM07 も加える。
この見方なら、10項目を一度に実装しようとせず、「自社に存在する経路に関係する公式ページを読む」という現実的な学習順にできます。
2025リストと2026リストで番号が意味する範囲が違う
年号なしの引用は危険
同じ LLM0x でも、年号なしの引用は危険です。学習ノートとチケットには、必ず :2025 か :2026 を付けてください。2026 でも Prompt Injection は 1 位ですが、隣接番号は入れ替わっています。Hidden Context Exposure は 2026 の新規 8 位です。
2025と2026の順位対照
| 項目 | 2025 公開リスト | 2026 現行 |
|---|---|---|
| 1位 | Prompt Injection | Prompt Injection |
| 3位 | Supply Chain | Excessive Agency |
| 5位 | Improper Output Handling | Data and Model Poisoning |
| 6位 | Excessive Agency | Unbounded Consumption |
| 8位 | Vector and Embedding Weaknesses | Hidden Context Exposure（新規） |
| 10位 | Unbounded Consumption | Improper Output Handling |
出典：OWASP GenAI LLM Top 10（2025公開リスト）、GenAI-LLM-Top10（2026現行）（2026年8月時点）
既存チェックリストの直し方
既存のチェックリストを開いたら、次に以下の作業を行います。
- v1.1 の Model Theft、Overreliance、Insecure Plugin Design が残っていないかを消す。
- 2026 の Hidden Context Exposure と 3 位の Excessive Agency を追加する。
Excessive Agency は、エージェントに広いツール権限を与えるほど、誤操作や侵害時の被害範囲が広がるという論点です。まずは「その機能に本当に必要な権限だけを、必要な時間だけ渡せるか」を確認します。
日本語資料は最新とは限らない
日本語資料が存在することと、それが最新であることは一致しません。
OWASP Japan の「OWASPトップ10 for LLM日本語」は、owasp-ja/Top10-for-LLM を指します。
その README は「現在日本語は version 1.1 ベース」と記載しており、2.0 翻訳の呼びかけも 2024-04-25 のものです。日本語版は概要把握に使い、項目名・番号・範囲は英語の 2026 版で確認してください。
Web版Top 10 2025がLLMに触れる範囲と、専用リストとの境界
Web版がLLMに触れる位置
Web 版は最低基準です。LLM 専用の 10 項目を置換しません。読む先は公式の OWASP Top 10:2025 です。
NTTデータ先端技術の 解説コラム（茂木、2026-03-10）は、Web 版 2025 が AI / LLM に触れる位置を独立に整理した二次確認であり、公式本文の代替ではありません。
分析規模は次のとおりです。
- 分析対象 CWE: 589 件
- 本体 10 カテゴリに使う CWE: 248 件
- カテゴリあたり CWE: 5〜40（平均 25）
- 対象アプリ: 280 万件超
A02 Security Misconfiguration は、テスト対象の 100% で何らかの設定不備が見つかったと説明されています。
AI への言及は、少なくとも次の 3 箇所です。
- A05 Injection が LLM プロンプトインジェクションに触れ、LLM01:2025 を相互参照する
- A09 Logging & Alerting が、AI 支援アラートの失敗に触れる
- Next Steps の X03 が、AI 生成コードへの不適切な信頼（Vibe Coding）を扱う
X03 は本体 10 件ではありません。優先度を本体項目と混同しないでください。コラムの相互参照は LLM01:2025 です。2026 でも Prompt Injection は 1 位ですが、出力処理は 2026 では LLM10 です。2025 の LLM05 をそのまま転記すると、別リスクを指します。
既存Webアプリへの重ね方
既存のWebアプリの場合は、次の順序で確認します。
- 2025 版の A01〜A10 は維持する。
- LLM 入力がある画面だけ、A05 と LLM01:2026 を二重に見る。
- AI 生成コードをマージするなら、X03 のレビュー、SAST、シャドー AI 項目を別チェックにする。
自動スキャンだけでは、データがどこから入り、どの権限で処理され、どこへ渡るかという境界条件を捉えきれません。重要な経路は人手でも確認します。
要件定義には ASVS、AI セキュリティとプライバシーの詳細ガイダンスには OWASP AI Exchange を使います。企業コラムは接点を理解する補助資料であり、公式文書の代替にはなりません。
テクノロジー現場向けの役割別2週間チェックリスト
10 項目を最初から全部読む必要はありません。役割ごとに「読む公式資料」と「出荷前に見る 3 点」を決めます。最初の 2 週間は、対象機能に関係する項目から始めれば十分です。
開発者（週 1〜2）
- 読む: 2026 の LLM01 Prompt Injection、LLM03 Excessive Agency、LLM10 Improper Output Handling
- 出荷前: 入力は命令とデータを区別できない前提にする。ツール権限を最小化する。出力は HTML / SQL / コマンドに渡す前に検証する
- 認証情報をパイプラインに置いているなら、GitHub Actionsの認証情報リスクと権限昇格を防ぐ実践対策 も同じ週に見る
セキュリティ担当（週 1〜2）
- 読む: 10 項目を「どこから入り、どこへ伝わり、どの形式で扱われるか」の 3 軸で 1 枚の脅威モデルにする
- 出荷前: 間接注入（RAG、MCP、issue タイトル）を対象に含める。Web 版の A05 / A09 / X03 を既存診断項目へ接続する
- 制限: Top 10 は awareness なので、合格基準は ASVS か自社のテスト項目で別に書く
マネージャー（週 2）
- 読む: NIST AI RMF は任意であること、1.0（2023-01-26）は改訂中であること、生成 AI 用は NIST-AI-600-1（2024-07-26）であること
- 出荷前: 学習目標を「10 項目の暗記」ではなく「どの公式を正本にするか」に置く。規制準拠の自動証明には使わない
- 制限: NIST 文書はプロンプトインジェクションの技術手順を置き換えない
共通の次アクション
全員が最初に行う作業は、今のプロダクトについて次の 3 マスを埋めることです。空欄が残るマスは、今週の読書対象から外して構いません。
- 入力境界: 誰の文字がモデルに入るか（利用者、検索結果、チケット、ツール出力）
- ツール実行: モデルが呼べる API、ファイル、ブラウザ、デプロイ権限
- 出力利用: 応答が HTML、SQL、シェル、別エージェントに渡るか
よくある遠回りと、学習範囲の切り方
遠回りになりやすいのは、古い日本語訳を丸暗記すること、Web 版だけで LLM 対策が足りると考えること、技術的な境界を見ないままガバナンス文書から読み始めることです。
百科事典は沿革の裏取りまで
English Wikipedia の OWASP 記事 は、2023年5月に OWASP Gen AI Security Project が始まり、LLM の最重要リスクを Top 10 として文書化する目的だと記録しています。
これはプロジェクトの存在確認まで使えます。リスク番号や緩和策の根拠にはしません。
ページ自身が一次資料の確認を求める注意書きを持ち、2026 リストも掲載していません。沿革を確認したら、リスク番号と対策は必ず公式資料へ戻ります。
資料を開く前のラベル
資料を開く前に、次のどれに当たるかをラベル付けしてください。番号を引用するのは「現行正本」だけ、と決めると混乱しません。
- 現行正本: genai.owasp.org の 2026 公開物と GitHub
2026/final/ - 翻訳: owasp-ja の 1.1 ベース日本語
- 解説コラム: Web 版 2025 と LLM の接点を説明する二次資料
- 百科事典: プロジェクト開始年などの沿革だけ
発見元の個人記事や、ブックマーク数のような人気度は、何を学ぶかの発見には使えます。正本にはしません。
よくある質問
日本語資料から始めてよいか
概要把握には使えます。ただし owasp-ja リポジトリは 1.1 ベースなので、項目名は必ず英語 2026 と突き合わせてください。1.1 にしかない Model Theft などを現行リスクとして採用しないでください。
Web版Top 10 2025 を読めば LLM 対策は足りるか
足りません。2025 版は A05 / A09 / X03 で触れるだけです。専用の 10 項目と番号体系が別にあります。既存 Web アプリの最低基準としては 2025 版を維持し、LLM 面は 2026 専用リストを重ねます。
最初の 2 週間で 10 項目を全部実装すべきか
しないでください。入力・出力・ツール権限の 3 点を自社画面に写し、残りは脅威モデルの空きマスとして残します。埋まっているマスの公式項目だけを、今週の読書対象にします。
NIST AI RMF を先に読むべきか
組織の説明責任が主目的なら併用します。脆弱性の技術定義は現行 LLM リストが先です。RMF は任意で、1.0 は改訂中です。生成 AI 固有の管理項目は NIST-AI-600-1 を見ます。
発見元の個人記事を正本にしてよいか
しないでください。人気度は発見シグナルです。事実と学習順は、公式公開物と独立ソースで確認します。
まとめ
現行の学習正本は、2026-08-04 公開の LLM アプリケーション向け 10 項目です。日本語 1.1 と Web 版 2025 は補助であり、番号と範囲を混同しないでください。テクノロジー現場の次アクションは、今の機能について入力・ツール・出力の 3 マスを埋め、今週は埋まっているマスの公式項目だけを読むことです。
著者
krona23
IT業界20年以上の実務経験を持ち、日本国内有数のPVを誇る大規模Webサービスで事業部長・CTOを複数社で歴任。Windows/iOS/Android/Webと技術の変遷を経験し、現在はAIネイティブへの変革に注力。DevGENTでは、AIコードエディタ・自動化ツール・LLMの実践的な使い方を日英西3言語で発信中。
コメントを残す