OWASP Top 10 para LLM 2026: os 10 riscos explicados
O OWASP Top 10 para LLM 2026 reordenou os riscos de IA: agência excessiva subiu para 3º. Veja os 10 itens, o que mudou desde 2025 e um checklist prático.
O OWASP Top 10 para LLM 2026 saiu em agosto e mudou a ordem dos maiores riscos de aplicações com inteligência artificial. Prompt injection continua em primeiro, mas a grande novidade está no terceiro lugar: agência excessiva, o risco de um agente de IA fazer estrago porque tem ferramentas, permissões ou autonomia demais. Neste guia você vai ver os dez itens da edição 2026 em linguagem de quem opera segurança, entender o que mudou desde 2025 e sair com um checklist para revisar uma aplicação com IA na sua empresa.
Resumo rápido
- O OWASP Top 10 para LLM 2026 foi publicado em agosto de 2026 pelo OWASP GenAI Security Project.
- Prompt injection segue em 1º e divulgação de informação sensível em 2º. Agência excessiva subiu do 6º para o 3º lugar.
- Consumo sem limite subiu quatro posições, tratamento inadequado da saída caiu para 10º e o antigo vazamento de prompt de sistema virou exposição de contexto oculto.
- A melhor forma de usar a lista é como checklist de revisão de cada aplicação com IA, não como lista para decorar.
O que é o OWASP Top 10 para LLM
O OWASP é a fundação aberta por trás do conhecido Top 10 de aplicações web. Desde 2023, ela mantém uma lista específica para aplicações construídas sobre grandes modelos de linguagem (LLMs), hoje sob o OWASP GenAI Security Project. A ideia é a mesma da lista web: dar a times de desenvolvimento e segurança uma linguagem comum para os riscos mais importantes e um ponto de partida para mitigá-los.
Segundo o anúncio oficial do projeto, a edição 2026 passou de 10 mil downloads nas primeiras 48 horas.
Como o ranking de 2026 foi montado
A edição 2026 mudou o método. De acordo com a nota de pesquisa da Cloud Security Alliance, o time reuniu 7.714 incidentes de segurança ligados a IA, vindos de bancos públicos de vulnerabilidades e de repositórios de danos causados por IA. Desses, 6.639 tinham detalhe suficiente para serem classificados nas dez categorias.
Mesmo assim, a comunidade ainda define a maior parte da ordem: o voto dos profissionais pesa cerca de 75% e a evidência de incidentes, cerca de 25%. Isso explica dois movimentos curiosos. Prompt injection aparece pouco nas contagens de incidentes, mas continua em primeiro. Já desinformação, que a comunidade votou lá embaixo, subiu porque os incidentes mostram respostas de modelos disparando ações reais.
Os 10 riscos do OWASP Top 10 para LLM 2026
Dez itens em sequência cansam. Por isso, a gente agrupa em três perguntas que qualquer pessoa de segurança já faz: o que entra no modelo, o que sai dele e o que ele consegue fazer.
| Posição 2026 | Risco | Pergunta |
|---|---|---|
| LLM01 | Prompt Injection | O que entra |
| LLM02 | Sensitive Information Disclosure | O que sai |
| LLM03 | Excessive Agency | O que ele faz |
| LLM04 | Supply Chain | O que entra |
| LLM05 | Data and Model Poisoning | O que entra |
| LLM06 | Unbounded Consumption | O que ele faz |
| LLM07 | Misinformation | O que sai |
| LLM08 | Hidden Context Exposure | O que sai |
| LLM09 | Vector and Embedding Weaknesses | O que entra |
| LLM10 | Improper Output Handling | O que sai |
O que entra no modelo: LLM01, LLM04, LLM05 e LLM09
LLM01 – Prompt injection. O modelo não separa dado de instrução, então um texto malicioso consegue mudar o comportamento dele. Em 2026, o item cobre ataques que chegam por imagem, áudio, vídeo, resultado de ferramenta ou memória persistente. O documento é franco: não existe hoje um mecanismo confiável de prevenção. A recomendação é projetar o sistema assumindo que a injeção às vezes vai funcionar e limitar o que o modelo consegue alcançar.
LLM04 – Cadeia de suprimentos. É o velho problema do pacote de terceiro, agora com modelos, datasets, adaptadores e conversores. A defesa é conhecida de quem cuida de software: inventário dos componentes de IA, verificação de origem e de hash e versões fixas em vez de “a mais nova”.
LLM05 – Envenenamento de dados e de modelo. Alguém altera o que o modelo aprende ou consulta, no treinamento, no ajuste fino ou na base de conhecimento, para plantar um viés ou uma porta dos fundos que só aparece com o gatilho certo. Rastrear a origem dos dados e testar o modelo depois de cada ajuste são as respostas principais.
LLM09 – Fraquezas em vetores e embeddings. É o coração do RAG. Pense numa biblioteca em que alguém troca as etiquetas das prateleiras: os livros estão certos, mas o caminho até eles foi sequestrado. Controle de acesso aplicado dentro da busca, e não depois, evita que um usuário receba documentos de outro.
O que sai do modelo: LLM02, LLM07, LLM08 e LLM10
LLM02 – Divulgação de informação sensível. Continua em segundo. O vazamento não acontece só na resposta: argumentos de ferramenta, logs e embeddings também carregam dado sensível.
LLM08 – Exposição de contexto oculto. O nome é novo e o escopo é maior que o antigo vazamento de prompt de sistema. O documento do LLM08 inclui instruções de sistema, regras de negócio recuperadas pelo RAG e definições de ferramentas. As orientações: tirar segredos desse contexto, não depender dele para controle e aplicar autorização fora do modelo.
LLM07 – Desinformação. Resposta errada com cara de certa, usada para decidir ou para disparar uma ação. A defesa é ancorar a resposta em fonte atual e checar antes de agir.
LLM10 – Tratamento inadequado da saída. Texto gerado que vai direto para navegador, banco de dados ou terminal sem validação vira XSS, SQL injection ou execução de código. O item caiu para 10º porque outras categorias cresceram mais, não porque ficou menos perigoso. A regra do LLM10 é tratar o modelo como qualquer outro usuário: validar, codificar a saída e usar consultas parametrizadas.
O que o modelo consegue fazer: LLM03 e LLM06
LLM03 – Agência excessiva. É o risco que mais subiu, do 6º para o 3º lugar. O OWASP o define como um sistema que permite ações danosas em resposta a saídas inesperadas, ambíguas ou manipuladas. Repare: não importa se a causa foi injeção ou alucinação. Se o agente pode fazer, uma hora ele faz.
Um exemplo recente: em 5 de outubro de 2026, a Wikimedia Foundation relatou edições não autorizadas que atribui a agentes de IA operados pela OpenAI, segundo o BleepingComputer. A maioria eram testes em áreas de rascunho, mas houve também tentativas de alterar a configuração de uma ferramenta de citações.
As mitigações do LLM03 são as que você aplicaria a um funcionário novo: menos ferramentas, ferramentas que fazem uma coisa só, permissões mínimas, execução no contexto do usuário, aprovação humana para ações de alto impacto, monitoramento e limite de taxa.
LLM06 – Consumo sem limite. Subiu quatro posições. No mesmo caso da Wikimedia, a fundação fala em milhões de requisições automatizadas de API. Contas de nuvem explodindo, serviço fora do ar e cópia do modelo por consulta em massa entram aqui. A resposta é teto de gasto e de requisições por usuário e por agente, mais um “disjuntor” para agentes presos em loop.
Steve Wilson, fundador do projeto, resumiu a virada no anúncio oficial: a IA está passando de modelos que geram conteúdo para agentes que agem de forma autônoma.
O que mudou do OWASP Top 10 para LLM 2025 para 2026
| Risco | 2025 | 2026 | Mudança |
|---|---|---|---|
| Excessive Agency | 6º | 3º | Subiu 3 |
| Unbounded Consumption | 10º | 6º | Subiu 4 |
| Misinformation | 9º | 7º | Subiu 2 |
| Supply Chain | 3º | 4º | Caiu 1 |
| Data and Model Poisoning | 4º | 5º | Caiu 1 |
| Vector and Embedding Weaknesses | 8º | 9º | Caiu 1 |
| Improper Output Handling | 5º | 10º | Caiu 5 |
| System Prompt Leakage → Hidden Context Exposure | 7º | 8º | Renomeado e ampliado |
Prompt injection (1º) e divulgação de informação sensível (2º) mantiveram a posição.
Checklist: como usar o OWASP Top 10 para LLM na sua empresa
- Revise uma aplicação por vez. Passe os dez itens como checklist e marque: aplica, não aplica ou não sei. O “não sei” é o seu backlog.
- Faça o inventário. Qual modelo, de onde veio, qual versão e quais dados alimentam o RAG.
- Tire segredos e regras de autorização do prompt de sistema. Assuma que tudo ali vai ser descoberto.
- Aplique a regra de dois aos agentes. Proposta pela Meta e citada pelo próprio OWASP no LLM01: numa mesma sessão, o agente deve ter no máximo duas destas três capacidades: ler conteúdo não confiável, acessar dado sensível e mudar estado ou se comunicar com o exterior. Precisa das três? Coloque um humano no meio.
- Coloque teto de consumo. Limite de gasto e de requisições por usuário e por agente, com alerta para o SOC.
Este é o quinto episódio da série Fundamentos. Se chegou agora, comece pelo post de boas-vindas e conheça a proposta do canal na página Sobre.
Perguntas frequentes
O que é o OWASP Top 10 para LLM?
É uma lista aberta, mantida pelo OWASP GenAI Security Project, com os dez riscos de segurança mais críticos em aplicações que usam grandes modelos de linguagem. Cada item traz exemplos, cenários de ataque e mitigações.
Qual é o risco número 1 do OWASP Top 10 para LLM 2026?
Prompt injection continua em primeiro lugar, como em 2025. O próprio documento reconhece que não existe prevenção confiável hoje e recomenda limitar o impacto quando a injeção funcionar.
O que mudou do OWASP Top 10 para LLM 2025 para 2026?
Agência excessiva subiu do 6º para o 3º lugar, consumo sem limite subiu do 10º para o 6º, tratamento inadequado da saída caiu do 5º para o 10º e o vazamento de prompt de sistema virou exposição de contexto oculto, com escopo maior.
O OWASP Top 10 para LLM serve para agentes de IA?
Serve como base, principalmente pelos itens LLM03 e LLM06. Para riscos específicos de agentes, o OWASP mantém uma lista própria, o Top 10 for Agentic Applications.