OWASP Top 10 LLM 2026, 6 639 incidents analysés, ce que les agents IA imposent désormais aux équipes de sécurité

Le référentiel OWASP Top 10 LLM 2026, publié début août, modifie la lecture des risques liés aux grands modèles de langage. Pour la première fois, le classement mêle expertise communautaire et analyse de dossiers d’incidents. Le document s’adresse aux développeurs, architectes, RSSI et équipes de sécurité, avec un message clair : protéger une IA ne consiste plus seulement à filtrer ses réponses.

OWASP pondère son classement avec 6 639 incidents

La principale évolution tient à la méthode. Le projet OWASP a retenu un modèle hybride, fondé sur les votes de spécialistes de la sécurité et sur l’analyse de cas documentés. Cette approche marque une rupture avec les listes surtout alimentées par le consensus professionnel. Elle met en regard les risques anticipés par les équipes et les incidents déjà observés dans des environnements réels.

Le classement accorde 75 % du poids aux évaluations d’experts et 25 % aux données issues d’incidents. Cette part empirique s’appuie sur plus de 7 700 signalements examinés, dont 6 639 incidents suffisamment détaillés pour être classés. Le volume reste limité par rapport à l’ensemble des usages de l’IA, mais il offre un point d’appui plus solide que les seuls scénarios théoriques.

Cette méthode fait apparaître des écarts entre les inquiétudes médiatisées et les compromissions constatées. Certaines attaques très commentées, comme les manipulations par consigne, restent centrales, mais les incidents liés aux agents dotés de permissions étendues prennent une place plus visible. Les modèles ne sont plus seulement interrogés par des utilisateurs : ils lisent des fichiers, déclenchent des actions, appellent des API et manipulent des données internes.

Le référentiel conserve une vocation pratique. Chaque risque est associé à des scénarios d’attaque, à des mesures de réduction et à des correspondances avec des cadres comme NIST, MITRE ATLAS, CWE et le Top 10 OWASP classique. Pour les entreprises, l’intérêt réside dans cette traduction opérationnelle : cartographier les flux, limiter les droits, journaliser les actions et tester les applications avant leur mise en production.

Prompt Injection et Excessive Agency dominent les risques IA

Le risque Prompt Injection reste classé en première position. Il couvre les consignes malveillantes, directes ou indirectes, capables de détourner le comportement d’un modèle. Un document piégé, un courriel intégré à un assistant ou une page web consultée par un agent peuvent contenir des instructions que le système interprète comme légitimes. La défense repose moins sur la confiance accordée au modèle que sur l’isolement des données et le contrôle des actions autorisées.

La deuxième place revient à Sensitive Information Disclosure, qui désigne l’exposition d’informations sensibles. Les cas visés concernent les données personnelles, les secrets techniques, les clés d’API ou les éléments issus d’une base documentaire interne. Dans un assistant connecté à un moteur de recherche d’entreprise, une mauvaise séparation des droits peut permettre à un utilisateur d’obtenir des contenus auxquels il ne devrait pas accéder.

La progression la plus surveillée concerne Excessive Agency, passé au troisième rang. Le terme décrit les situations où un système d’IA dispose de pouvoirs trop larges : envoyer un message, modifier un dossier client, commander une ressource cloud ou déclencher un paiement sans validation humaine suffisante. Cette catégorie reflète la montée des agents autonomes dans les services informatiques, financiers et commerciaux.

Autre changement notable, l’ancienne notion de fuite du prompt système est remplacée par Hidden Context Exposure. Le périmètre devient plus large : mémoire de l’agent, documents récupérés, réponses d’outils, état applicatif et paramètres internes entrent dans le champ du risque. Dans le même mouvement, Improper Output Handling recule au dixième rang, signe que le danger se déplace vers l’architecture complète qui entoure le modèle, pas seulement vers le texte qu’il produit.