LLM（大規模言語モデル）を組み込んだアプリのセキュリティを点検しようとすると、まず何から見ればよいかで迷う。そのときの物差しとして使えるのが、OWASPのTop 10 for LLM Applicationsだ。ウェブアプリのOWASP Top 10と同じく、起きやすく被害の大きいリスクを10個に絞って並べている。
2026年8月に、その2026年版が公開された。順位が大きく動き、名前の変わった項目もある。ここでは、OWASP Top 10 for LLMの2026年版を日本語で整理し、2025年版からの変化、自社のLLMアプリで確かめる順番、AIレッドチームでの検証の進め方をまとめた。訳語は私が付けたもので、正式な日本語版ではない。
OWASP Top 10 for LLMとは
OWASP Top 10 for LLM Applicationsは、OWASP GenAI Security Projectが公開している、LLMアプリの主要なリスクの一覧だ。文書の版の履歴は次のとおりだ。
| 版 | 公開 |
|---|---|
| 1.0版 | 2023年8月1日 |
| 1.1版 | 2023年10月16日 |
| 2025年版 | 2024年11月18日 |
| 2026年版 | 2026年8月 |
2026年版の作り方には特徴がある。プロジェクトの代表者の手紙によると、これまでの版は実務家の投票で順位を決めてきた。2026年版では初めて、公開された脆弱性データベースなどから7,714件の事故を集め、そのうち詳細が分かる6,639件を分類して、投票の結果と突き合わせた。最終的な順位は、投票に4分の3、事故のデータに4分の1の重みをつけて決めている。
文書はクリエイティブ・コモンズのCC BY-SA 4.0で公開されている。社内の点検表や研修資料に組み込むときは、出典を示し、改変したものは同じライセンスで扱う。
2026年版の10のリスク
2026年版の10項目を、2025年版の順位と並べた。右から2列めの「何が起きるか」は、各項目の説明を私が短くまとめたものだ。
| 2026年版 | 項目（訳） | 何が起きるか | 2025年版 |
|---|---|---|---|
| LLM01 | Prompt Injection（プロンプトインジェクション） | 入力や読み込んだ文書、ツールの出力、画像や音声に含まれる指示で、モデルが開発者の意図しない動きをする | 1位 |
| LLM02 | Sensitive Information Disclosure（機密情報の漏えい） | 回答だけでなく、ツール呼び出しの引数、推論の過程、ログ、埋め込みなどから機密が外に出る | 2位 |
| LLM03 | Excessive Agency（過剰な権限） | モデルの誤りや操作された出力をきっかけに、与えすぎた機能・権限・自律性が損害につながる | 6位 |
| LLM04 | Supply Chain（サプライチェーン） | 外部の学習済みモデル、データセット、アダプタ、変換の工程が改ざんされる | 3位 |
| LLM05 | Data and Model Poisoning（データとモデルの汚染） | 事前学習、微調整、埋め込み、検索に使うデータが汚され、有害な動きや偏りが埋め込まれる | 4位 |
| LLM06 | Unbounded Consumption（際限のない消費） | 推論を制限なく使わせて、サービスを止める、費用を膨らませる、モデルを複製する | 10位 |
| LLM07 | Misinformation（誤情報） | もっともらしい誤りが、人の判断や自動の処理、エージェントの行動に使われる | 9位 |
| LLM08 | Hidden Context Exposure（隠れたコンテキストの露出） | システムプロンプトやツールの定義など、利用者に見せない情報が引き出される | 7位（System Prompt Leakage） |
| LLM09 | Vector and Embedding Weaknesses（ベクトルと埋め込みの弱点） | 類似検索の仕組みを突いて、別の利用者のデータが混ざる、答えを誘導される | 8位 |
| LLM10 | Improper Output Handling（出力の不適切な扱い） | モデルの出力を検証せずに他の部品へ渡し、XSSやSSRF、リモートコード実行につながる | 5位 |
LLM01の扱いは、2026年版でさらに広くなった。直接の入力だけでなく、検索で取ってきた文書、ツールの出力、画像・音声・動画、長期の記憶まで、モデルが読むものすべてを入口として扱っている。仕組みと攻撃の例はプロンプトインジェクションとはで詳しく書いた。
LLM08は、名前が変わっただけではない。2026年版は、隠れたコンテキストは見つけられる前提で設計し、認証情報や接続文字列、トークンを入れてはいけないとしている。システムプロンプトに秘密を書いて守る、という作り方そのものを否定している。
2025年版から変わったこと
順位の動きは、過去の版より大きい。2026年版の説明をもとに、変化を4つにまとめる。
- 過剰な権限（Excessive Agency）が6位から3位に上がった。OWASPはこれを最も重い変化だとし、投票と事故の記録がともに、エージェントとして動かす使い方で被害が出ていることを示したと書いている
- 際限のない消費（Unbounded Consumption）が10位から6位に、4つ上がった。費用や計算資源を使い尽くされるリスクを、実務家が重く見るようになった
- 出力の不適切な扱い（Improper Output Handling）が5位から10位に下がった。ただし、コード生成の支援ツールが大量に作る安全でないコードも、この項目に含めるようになった
- 誤情報（Misinformation）は9位から7位に上がった。代表者の手紙は、投票では下位だったが、事故の記録では上位に入り、投票が低く記録が高いという向きでは差がいちばん大きかった項目だと書いている
もう1つ大事なのが、担当範囲の線引きだ。2026年版は、モデルがアプリの部品として使われる場面を扱い、モデルがツールを呼び、セッションをまたいで記憶を持ち、自分で動く場面は、2025年12月9日に発表されたOWASP Top 10 for Agentic Applicationsの担当だとしている。エージェントを作るなら、2つの一覧を合わせて読む必要がある。権限の設計はAIエージェントのセキュリティにまとめた。
自社のLLMアプリで確かめる順番
10項目を上から全部やろうとすると、手が止まる。私の見方では、自社のアプリの作りに合わせて、次の順に確かめるのが現実的だ。右の列は、2026年版の対策の記述から、最初に確かめたいものを私が選んだ。
| 順番 | 確かめること | 対応する項目 | 最初に見るところ |
|---|---|---|---|
| 1 | モデルがツールやAPIを呼べるか。呼べるなら何ができるか | LLM03 | ツールの数と機能を最小にする。シェルの実行やURLの取得のような何でもできるツールを避ける。利用者本人の権限で動かす |
| 2 | システムプロンプトやツールの定義に秘密が入っていないか | LLM08、LLM02 | 認証情報やトークンを置かない。隠した指示を権限の境界として使わない |
| 3 | 社内文書を検索して答えるなら、利用者ごとの閲覧権限が検索の段階で守られているか | LLM09、LLM02 | 権限を確かめる前に、全文書を対象に類似検索していないか |
| 4 | モデルの出力をそのまま画面、SQL、シェルに渡していないか | LLM10 | 渡す先に合わせたエスケープと検証 |
| 5 | 利用量と費用に上限があるか | LLM06 | リクエストの回数だけでなく、トークン量に応じた上限と、費用の上限 |
| 6 | 出力の誤りを、人や後ろの処理がそのまま使っていないか | LLM07 | 根拠の表示、重要な判断の前の人の確認 |
| 7 | 外部のモデルやデータ、ライブラリの出どころを確かめているか | LLM04、LLM05 | 取り込むモデルとデータの一覧と、出どころの確認 |
1を最初に置いたのは、プロンプトインジェクションを完全に防ぐ方法がないからだ。2026年版も、命令とデータの区別がない以上、SQLインジェクションのパラメータ化クエリにあたるきれいな対策はないと書いている。入口を塞げないなら、だまされたときに何ができてしまうかを先に小さくする。3の権限の作り方はRAG構築の進め方で書いた。
AIレッドチームで確かめる
点検表を埋めただけでは、本当に防げているかは分からない。攻撃者の立場で実際に試すのがAIレッドチームだ。
日本では、AIセーフティ・インスティテュート（AISI）が2024年9月に「AIセーフティに関するレッドチーミング手法ガイド」を公開し、2025年4月2日に改訂した。改訂版は、RAGの仕組みを組み込んだAIシステムに実際にレッドチーミングを行い、その手順と成果物を文書にまとめている。社内で検証の計画を立てるときの手本になる。
私の見方では、OWASPの10項目は「何を試すか」の一覧として、AISIのガイドは「どう進め、何を残すか」の手順として使い分けるとよい。試す順番は、上の表の1から7でよい。結果は、項目ごとに「試したこと」「起きたこと」「直したこと」を記録しておくと、次の改修のときに同じ試験を回せる。
LLMを業務に組み込む実装の側から、こうした点検を設計に落とす職種はFDEとは？Forward Deployed Engineerの意味と仕事内容で説明している。社内で使われているAIを洗い出し、リスクと設定を点検する診断は、AI利用セキュリティ診断で紹介している。