Bảo mật agent

Agent đọc nội dung do người lạ viết, rồi hành động bằng thông tin xác thực của bạn. Trang này trình bày nguyên tắc cốt lõi, cả hai danh sách OWASP năm 2026, các sự cố đã xảy ra và những biện pháp phòng vệ có thể ngăn chặn chúng.

Sự cố gần đây

• 5 thg 6, 2026 Chiếm quyền session và truy cập task giữa các session trong MCP Python SDK
• thg 6 2026 Tự động phê duyệt WebFetch trong Claude Code làm rò rỉ dữ liệu qua huggingface.co
• 15 thg 4, 2026 Comment and Control: nội dung PR đánh cắp secret từ agent CI
• 4 thg 2, 2026 MCP TypeScript SDK làm rò rỉ phản hồi giữa các client
• 1 thg 2, 2026 ClawHavoc: hàng trăm skill ClawHub độc hại phát tán AMOS

OWASP Top 10 cho ứng dụng agentic 2026

OWASP GenAI Security Project công bố danh sách này vào 9 tháng 12, 2025. Danh sách bao quát các rủi ro phát sinh khi model lập kế hoạch, lưu giữ bộ nhớ, gọi công cụ và phối hợp với các agent khác.

1. ASI01
   Chiếm quyền mục tiêu của agent

   Kẻ tấn công thay đổi mục tiêu mà agent đang theo đuổi, thường bằng cách giấu chỉ dẫn trong nội dung agent đọc. Sau đó, agent dùng tool và quyền của người dùng để thực hiện mục tiêu của kẻ tấn công.

2. ASI02
   Lạm dụng và khai thác tool

   Agent sử dụng các tool hợp lệ theo cách gây hại, chẳng hạn xóa bản ghi, gửi tin nhắn hoặc xâu chuỗi các lệnh gọi, do bị thao túng hoặc được cấp quyền truy cập tool rộng hơn mức cần thiết cho tác vụ.

3. ASI03
   Lạm dụng danh tính và quyền hạn

   Agent hoạt động thông qua thông tin xác thực, token được ủy quyền và quyền kế thừa. Kẻ tấn công lạm dụng các danh tính đó hoặc những kẽ hở giữa chúng để nâng quyền hoặc hành động dưới danh nghĩa người khác.

4. ASI04
   Lỗ hổng chuỗi cung ứng agent

   Tool, MCP server, skill, plugin, model và prompt được tải vào lúc build hoặc lúc chạy có thể độc hại hoặc bị xâm phạm. Vì agent tải nhiều thành phần trong số này một cách linh hoạt, chỉ cần một thành phần bị xâm phạm là mọi session sử dụng nó đều bị ảnh hưởng.

5. ASI05
   Thực thi mã ngoài dự kiến (RCE)

   Agent có khả năng viết và chạy mã, hoặc chuyển đầu ra của model cho shell và trình thông dịch, có thể bị dẫn dụ chạy các lệnh do kẻ tấn công chọn trên máy chủ.

6. ASI06
   Đầu độc bộ nhớ và ngữ cảnh

   Kẻ tấn công cài thông tin sai lệch hoặc chỉ dẫn vào bộ nhớ, tài liệu được truy xuất hoặc ngữ cảnh đã lưu của agent. Nội dung độc hại này tồn tại dai dẳng và ảnh hưởng đến các session sau, rất lâu sau khi dữ liệu đầu vào ban đầu không còn.

7. ASI07
   Giao tiếp giữa các agent không an toàn

   Thông điệp giữa các agent được truyền đi mà không có xác thực, kiểm tra tính toàn vẹn hoặc xác thực nội dung phù hợp, nên có thể bị giả mạo, phát lại hoặc sửa đổi để đánh lừa agent nhận.

8. ASI08
   Lỗi dây chuyền

   Một sự cố, chẳng hạn như đầu vào bị đầu độc, kết quả công cụ sai lệch hoặc agent bị xâm nhập, có thể lan qua các agent kết nối với nhau và các bước tự động nhanh hơn khả năng phát hiện của con người.

9. ASI09
   Khai thác niềm tin giữa con người và agent

   Agent thường tỏ ra tự tin và hữu ích, nên mọi người có xu hướng chấp thuận những gì agent đề xuất. Kẻ tấn công lợi dụng niềm tin đó để khiến con người xác nhận hành động gây hại hoặc tiết lộ thông tin.

10. ASI10
    Agent hoạt động ngoài kiểm soát

    Agent bị xâm nhập hoặc đã lệch khỏi hành vi dự kiến tiếp tục tự hoạt động, vượt ngoài phạm vi và sự giám sát được giao.

OWASP Top 10 cho ứng dụng LLM 2026

Phiên bản này được công bố vào 4 tháng 8, 2026 và thay thế danh sách năm 2025. Excessive Agency tăng từ vị trí thứ sáu lên thứ ba, còn System Prompt Leakage được đổi tên thành Hidden Context Exposure.

1. LLM01
   Prompt injection

   Đầu vào làm thay đổi hành vi của model theo những cách mà nhà phát triển không mong muốn. Đầu vào có thể đến trực tiếp từ người dùng hoặc gián tiếp từ tài liệu, trang web và kết quả công cụ mà model đọc.

2. LLM02
   Tiết lộ thông tin nhạy cảm

   Model hoặc ứng dụng để lộ dữ liệu cá nhân, thông tin xác thực, bí mật kinh doanh hoặc tài liệu mật khác trong đầu ra, lấy từ dữ liệu huấn luyện, ngữ cảnh hoặc các hệ thống được kết nối.

3. LLM03
   Quyền hạn quá mức

   Ứng dụng cấp cho model nhiều chức năng, quyền hạn hoặc quyền tự chủ hơn mức cần thiết cho tác vụ, khiến đầu ra bị thao túng hoặc sai sót gây thiệt hại thực tế. Mục này tăng từ vị trí thứ sáu năm 2025 lên thứ ba năm 2026.

4. LLM04
   Chuỗi cung ứng

   Model, tập dữ liệu, adapter, package và plugin của bên thứ ba có thể bị can thiệp hoặc chứa lỗ hổng, đưa rủi ro đó vào ứng dụng của bạn.

5. LLM05
   Đầu độc dữ liệu và model

   Kẻ tấn công thao túng dữ liệu tiền huấn luyện, tinh chỉnh hoặc embedding để cài cửa hậu, thiên kiến hoặc hành vi sai lệch chỉ xuất hiện sau này trong môi trường production.

6. LLM06
   Tiêu thụ không giới hạn

   Nếu không giới hạn số yêu cầu, kích thước đầu vào hoặc tài nguyên tính toán, kẻ tấn công có thể làm hóa đơn tăng vọt, khiến tài nguyên cạn kiệt hoặc sao chép model bằng cách gửi số lượng lớn truy vấn.

7. LLM07
   Thông tin sai lệch

   Model tạo ra đầu ra sai lệch hoặc gây hiểu lầm nhưng có vẻ đáng tin, khiến người dùng hoặc hệ thống phía sau hành động theo mà không kiểm chứng.

8. LLM08
   Lộ ngữ cảnh ẩn

   Trước đây là Rò rỉ system prompt. System prompt, chỉ dẫn ẩn và những ngữ cảnh khác không dành cho người dùng có thể bị trích xuất, làm lộ các quy tắc, logic hoặc bí mật được đưa vào đó.

9. LLM09
   Điểm yếu của vector và embedding

   Lỗ hổng trong cách tạo, lưu trữ và truy xuất embedding cho phép kẻ tấn công chèn nội dung, làm lộ dữ liệu giữa các tenant hoặc khôi phục văn bản nguồn; hệ thống RAG chịu ảnh hưởng nặng nhất.

10. LLM10
    Xử lý đầu ra không an toàn

    Đầu ra của model được chuyển đến trình duyệt, shell, cơ sở dữ liệu hoặc thành phần khác mà không qua xác thực hay mã hóa, mở đường cho XSS, SQL injection, thực thi mã và đánh cắp dữ liệu.

Biện pháp phòng vệ

15 biện pháp phòng vệ được ghi chép, mỗi biện pháp đều liên kết đến nguồn tham khảo. Hãy kết hợp nhiều biện pháp vì không biện pháp nào có thể tự ngăn chặn mọi cuộc tấn công.