本コラムは、全2回でお届けします。第1回となる本稿では、OWASP Top 10 for LLM Applications 2026のアップデート内容や2025年版と2026年版の差分を確認します。第2回では、この変化の中心にあるAgentic AIやサプライチェーンリスクを技術的な観点から深堀りします。

対策すべき生成AIリスク

OWASP GenAI Security Project^[1]は、「OWASP Top 10 for LLM Applications 2026」を公開しました。2023年の初版、2025年版に続く3度目のメジャー改定であり、生成AIアプリケーションのセキュリティリスクを扱う業界標準として、今回も、エンジニアやセキュリティ担当者が確認すべきリスク項目が示されています。

このリストが過去2版と決定的に違うのは、初めて実際のインシデントデータを反映したという点にあります。プロジェクトリードは冒頭のLetterでこう振り返っています^[2]。

Every version of this list before now was built on judgment... This year, for the first time, we can show you the evidence instead of asking you to take it on faith.
これまでの版はすべて、判断の上に築かれてきた。今年初めて、私たちは信じてもらう代わりに証拠を示せるようになった。（筆者訳）

具体的には、公開脆弱性データベースとAI被害データベースから集めた7,714件の実インシデントのうち、分類に十分な詳細を持つ6,639件を機械分類し、従来通りの専門家投票（重み75%）に、実インシデントの裏付け（重み25%）を加えるという手法を初めて採用しています。これにより、これまで「専門家が何を懸念しているか」という予想でしかなかったランキングが、「実際に何が起きたか」という証拠に裏打ちされたものへと性格を変わりました。具体的な遷移については図1に掲載されています。

この変化は、日本企業にとっても他人事ではありません。IPA（独立行政法人情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」の組織編^[3]では、「AIの利用をめぐるサイバーリスク」が初選出でいきなり3位にランクインしています。これは、AI関連リスクが既に無視できない水準に達したことを示唆しています。IPAは、AIに関する脅威として「AIに対する不十分な理解に起因する意図しない情報漏えいや他者の権利侵害」などを課題として挙げています。また、「サプライチェーンや委託先を狙った攻撃」は8年連続で2位を維持しており、継続してハイリスクです。

2025年版と2026年版の差分

2025年版^[4]と2026年版のランキング遷移は、本文中の図1に示されています。

図1：OWASP GenAI/LLM Top 10 (2025 → 2026): ランキング遷移図^[2]

遷移の根拠は事例により引き起こされたため、この事例がより実践的なリスク対応の優先順位と考えられます。この遷移の中でも特に大きいのが、Excessive Agencyの3位への上昇です。OWASPはこれを「このリスト全体で最も重大な変動」と位置づけています。また、複数の項目でリスクの内容が拡大し、例えば、LLM01:2026 Prompt Injectionでは、画像や音声などを扱うクロスモーダル攻撃を網羅するようになりました。他にも、LLM04:2026 Supply Chain、LLM05:2026 Data and Model Poisoning、LLM10:2026 Improper Output Handlingがあります。

総括：このリストから読み取るべきこと

今回の改訂を一言でまとめるなら、「これまで机上で懸念していたことが、実例によって裏付けられた」と言えます。ここ1、2年で急速に普及したAgentic AIやMCP（Model Context Protocol）を介したツール連携は、生成AIに「質問に答える」だけでなく自律的に「調べて、判断し、実行する」自由を与えました。その結果、これまでは理論上の懸念にとどまっていた過剰な権限・過剰な自律性の問題が、実際のインシデントとして観測される段階に入ったと言わざるを得ません。本文中に紹介されている事例として、2025年9月には、正規のPostmark MCPサーバー向けnpmパッケージ「postmark-mcp」になりすました同名パッケージが、バージョン1.0.16で送信メールを攻撃者のアドレスへ自動的にBCCするバックドアを仕込まれていたことがあります^[5]。このほか、IPAのセキュリティ短信^[6]でも、さまざまな事例が紹介されています。

第2回では、この変化の中心にあるAgentic AI/MCPが具体的にどの項目をどう押し上げたのかを見た上で、本コラムの核心であるサプライチェーンリスクについて技術的な観点から深掘りします。

なお、当社では、NTTデータ社と連携して、AIレッドチーミングやAIガードレールを含め安心・安全なAI利用を支援するサービスを提供していますので、お気軽にお問い合わせください。

AIの安心・安全な活用を支援する「Responsible & Secure AI」サービスを本格展開 | 株式会社NTTデータ先端技術

参考文献