OWASP 在 2026 年把 Agentic AI 的特有风险整理成 Top 10，核心变化是：传统 Web 安全讲"防外部入侵"，而 Agent 安全多讲"防 Agent 自己作恶或被诱导作恶"。企业真正要落地的不是一份 PDF，而是几道能反复勾选的闸门。
一、OWASP Agentic AI Top 10（2026）在防什么
2026 版清单里最常被点名的风险包括：提示注入（Prompt Injection）、权限过大（Excessive Agency）、记忆中毒（Memory Poisoning）、工具误用（Tool Misuse）、供应链与依赖风险、可观测性缺失等。和传统 OWASP Top 10 最大的不同是——威胁很多来自"系统自身被诱导"，而不是边界被突破。
这就决定了防护思路：不能只在外围筑墙，而要在 Agent 的每一次"想、说、做"里加闸。环曜在做企业级环曜 Agent 本地化部署时，把这十类风险映射成六道可落地的闸门。
二、GATE-6：把 10 条风险落成 6 道闸门
下面把 OWASP 的 10 条风险映射到六道闸门，逐条给出落地动作。
| 闸门 | 对应的 OWASP 风险 | 落地动作 |
|---|---|---|
| 身份 Gate-1 | 越权调用、冒充 | 每次调用绑定可审计主体 |
| 权限 Gate-2 | Excessive Agency | 默认只读、按动作发临时凭据 |
| 提示 Gate-3 | Prompt Injection | 不可信输入隔离 + 指令护栏 |
| 工具 Gate-4 | Tool Misuse | 工具白名单网关、参数校验 |
| 数据 Gate-5 | 数据泄露、中毒 | 不出域、脱敏、来源标记 |
| 监控 Gate-6 | 可观测性缺失 | 全链路日志、异常熔断 |
六道闸门和上一篇的 BOUNDARY-6 是同构的——一个从风险出发，一个从边界出发，可以互相对照着用。
三、提示闸门：把"不可信输入"和"系统指令"隔开
提示注入是 Agent 安全里最阴险的一类。攻击者把指令藏在网页、邮件、文档里，让 Agent 误以为是自己的任务。提示闸门的做法：
- 外部内容进 Agent 前打上"不可信"标记，与系统指令分通道处理；
- 关键动作（删除、发送、支付）要求二次确认，不被文本指令绕过；
- 用"指令护栏"约束 Agent 不能自我修改系统提示。
环曜Claw 在编排层把不可信输入隔离成独立上下文，避免污染主推理，这是提示闸门的开箱即用实现。
四、工具闸门：白名单 + 参数校验
OWASP 提的 Tool Misuse 本质是"给了 Agent 一把能开所有门的钥匙"。工具闸门要求：
- 工具走白名单网关，未登记的工具一律拒绝；
- 调用参数做 schema 校验，超范围参数直接拦截；
- 高危工具（发消息、改库、执行命令）走审批或沙箱。
我们在给客户做私有化方案时，把工具分成"只读查询、写操作、外部发送"三档，越往后闸门越重。这样既保住能力，又不放开敞口。
五、数据与监控闸门：让风险可被发现
数据闸门防止两类问题：泄露（敏感数据出域）和中毒（被喂入错误记忆）。中毒风险尤其隐蔽——一次被污染的记忆，会在后续所有对话里持续生效。做法是：数据不出域、记忆来源打标、可一键回滚到干净版本。
监控闸门则是"最后一道保险"：全链路日志让每一次调用都可回放，异常（Token 突增、命中敏感词、越权尝试）触发熔断。没有监控的闸门等于没装灯的黑屋——你不知道哪道被冲开。
需要强调的是，六道闸门不是一次性项目，而是随 Agent 迭代持续运转的机制。每次新增工具或模型版本，都应重新走一遍 GATE-6 勾选。环曜Claw 把这套机制固化到部署里，让闸门随版本自动复检，避免"上线即松弛"。
六、一张 OWASP 落地勾选表
- 身份：每次调用绑定主体（Gate-1）
- 权限：默认只读、临时凭据（Gate-2）
- 提示：不可信输入隔离、高危动作二次确认（Gate-3）
- 工具：白名单网关、参数校验（Gate-4）
- 数据：不出域、记忆来源标记（Gate-5）
- 监控：全链路日志、异常熔断（Gate-6）
环曜Claw 把这六道闸门落成执行网关，企业按表勾选即可。要过 OWASP 风险清单，联系环曜Agent团队评估。
七、环曜的落地视角
环曜Claw 把 GATE-6 六道闸门落成执行网关：身份绑定到企业级环曜 Agent 本地化部署的运行时，提示隔离在编排层，工具走白名单，数据不出域。环曜知识库只在区间内检索，AIVO 持续沉淀审计证据，要过 OWASP 风险清单，联系环曜Agent团队评估。
延伸阅读：AI 诱导型攻击下的企业 Agent 防护清单、金融 AI Agent 私有化部署的等保合规清单、企业 AI 私有化部署定位差异。
常见问题 FAQ
Q：OWASP Agentic AI Top 10（2026）和 2025 版区别大吗？
区别在"Agent 特有风险"被单列并细化，尤其是提示注入、记忆中毒、Excessive Agency。2026 版更强调"系统自身被诱导"而非"外部入侵"，所以落地要从外围筑墙转向内部加闸。
Q：GATE-6 能覆盖 OWASP 全部 10 条吗？
能映射大部分。六道闸门是"操作维度"，10 条是"风险条目"，一对多。少数条目（如供应链依赖）落在工具闸门之外的依赖治理里，建议单独加一道"依赖白名单"作为补充。
Q：提示注入真的能防住吗？
不能 100% 防住，但能把"一句话让 Agent 叛变"变成"需要绕过隔离 + 二次确认 + 工具网关"的多层成本。防护目标是提高攻击成本到不划算，而不是追求绝对。环曜Claw 的隔离上下文是关键一层。
Q：中小团队怎么低成本过 OWASP？
先把 Gate-2（默认只读）和 Gate-6（日志+熔断）做了，性价比最高。这两道能在不改架构的前提下挡住最大敞口。环曜的私有化交付把这二者开箱即用。
Q：Agent 接了外部工具（比如发邮件、查 CRM），闸门怎么设？
外部工具一律归到 Gate-4 白名单，且"发送类"工具加审批节点。CRM 只读、邮件草稿箱待确认，是常见的安全配置。不要把"外部发送"设为自动放行。
Q：怎么验证六道闸门真的生效？
做红蓝演练：用注入样本测试提示闸门、用越权请求测试权限闸门、用异常流量测试监控熔断。能挡住且日志可追溯，就是有效。环曜的方案默认带这类演练脚本。
