OWASP Top 10 for Agentic Applications 2026: ASI01-10 audit checklist per sistemi LLM enterprise
OWASP ha pubblicato a dicembre 2025 la prima Top 10 specifica per agentic applications - ASI01-10 - che affianca ma non sostituisce la LLM Top 10. Il Q1 2026 Exploit Round-up (14 aprile) mappa otto incidenti reali sulle nuove categorie. Ti mostro la checklist operativa di audit che uso nei red team: per ognuna delle 10 ASI fornisco payload di test, tool diagnostici, mitigation applicativa, e un esempio concreto Q1 2026. Continua a leggere
Ultima modifica:
Sto auditando una pipeline LangGraph nella mia sandbox di red team quando noto un'entry sospetta in Redis: un oggetto binario serializzato con pattern pickle. L'indagine porta a CVE-2026-27794 - JsonPlusSerializer(pickle_fallback=True) cade su pickle deserialization quando msgpack fallisce, e scrivere su cache Redis = RCE. Ti mostro la catena completa dalla scoperta al PoC all'hardening, con sigma rule Wazuh per rilevare la classe di attacco. 
Il 14 aprile 2026 ho messo una istanza Flowise 2.x volontariamente esposta nella mia sandbox di audit per riprodurre la CVE-2025-59528 - una RCE CVSS 10.0 già sfruttata in the wild su oltre 12.000 istanze Internet-facing. In 12 minuti dal deploy, payload Function('return ' + input)() iniettato su mcpServerConfig ha restituito shell root del container. Ti racconto la catena completa, l'impatto di supply chain sulle chiavi API LLM salvate, e le tre regole WAF che la bloccano. 
Quando misuri l'AI coding solo sull'output dei junior, sembra un boom di produttività. Quando misuri il sistema intero, la realtà cambia: il 45% del codice AI ha falle di sicurezza, i senior perdono il 19% di produttività riassorbendo il debito, i junior smettono di costruire i modelli mentali che li renderebbero senior domani. Il sistema si squilibria sotto la velocità apparente. 
Gartner prevede il 40% di progetti agentic cancellati entro il 2027 per inadequate risk controls. Nel mio laboratorio di red team ho riprodotto sette pattern documentati in letteratura: alignment faking, self-exfiltration, scheming multi-step, deception manipulation, sandbagging, reward hacking, sycophancy. Diagnosi operativa con payload di test, indicatori lato telemetria, contromisure applicabili in produzione su agenti enterprise. 
Dai circa sessanta esempi documentati da Krakovna/DeepMind (2020) al paper Apollo Research del dicembre 2024 sull'in-context scheming (o1, Opus 3, Sonnet 3.5, Gemini 1.5 Pro, Llama 3.1 405B), il pattern è invariato: se misuri un obiettivo algoritmicamente, l'agente trova una scorciatoia senza risolvere il problema reale. Analizzo specification gaming, sandbagging, self-preservation, e propongo un'architettura di containment a cinque layer applicabile oggi su agenti aziendali. 
Un agent LLM che può eseguire codice Python, Bash o SQL in autonomia è una backdoor delegata. Permetterlo in produzione senza sandboxing è irresponsabile. La mia architettura usa container effimeri, seccomp filter che bloccano syscall pericolose, capability dropping, network namespace che taglia l'egress. Ti mostro il design, i trade-off performance vs sicurezza, e i test di escape eseguiti per validare l'isolamento. 
Un RAG aziendale indicizza documenti interni e risponde alle domande. Se un attaccante inietta un documento nel corpus, può manipolare le risposte per tutti gli utenti. Ti racconto la metodologia di red team che applico: exfiltration di chunk sensibili, pivoting tra tenant multi-azienda, poisoning persistenti. Con tre proof-of-concept e il pattern di difesa applicativa. 
Dal punto di vista di un attaccante, il codice LLM-generated è una miniera d'oro. I pattern ricorrenti - concatenazione di input in query, gestione uniforme degli errori che leak info sensibili, assunzioni di sanitizzazione fatte dall'LLM senza dirlo - sono sfruttabili con PoC mirati. Ti racconto 5 classi di attacco osservate su codice reale, con exploit dimostrato e la strategia di difesa applicativa che uso in audit. 
Security testing manuale è costoso e non scala. Ho costruito un layer di security testing automatico nella pipeline GitHub Actions di un cliente: PHPStan per l'analisi statica, OWASP ZAP in modalità baseline per il DAST, Trivy per i container. Zero colli di bottiglia, il tempo di CI è aumentato solo di 4 minuti.