OWASP Top 10 untuk Agentic AI dan LLM: Panduan Risiko Aplikasi AI

OWASP Top 10 LLM dan OWASP Top 10 untuk Aplikasi Agentic 2026 adalah dua daftar risiko yang kini menjadi bahasa bersama bagi tim yang membangun, mengaudit, atau membeli aplikasi AI. Yang pertama membahas risiko pada aplikasi berbasis model bahasa, yang kedua membahas agen AI yang merencanakan dan bertindak sendiri. Artikel ini merangkum keduanya dan cara memakainya.

Dua Daftar, Dua Lapisan Risiko

OWASP GenAI Security Project memelihara beberapa dokumen. Dua yang paling sering dirujuk adalah OWASP Top 10 for LLM Applications edisi 2025 dan OWASP Top 10 for Agentic Applications 2026, yang terbit pada 9 Desember 2025. Daftar agentic disusun oleh Agentic Security Initiative dan, menurut halaman resmi OWASP, melibatkan lebih dari 100 pakar, peneliti, dan praktisi. Dokumennya berlisensi CC BY-SA 4.0, sehingga dapat dipakai ulang untuk pelatihan dan audit internal selama mencantumkan atribusi dan membagikan turunannya dengan lisensi yang sama.

Perbedaannya mudah diingat. Daftar LLM memandang satu model dan aplikasi di sekelilingnya: apa yang masuk ke model, apa yang keluar, dan data apa yang bisa bocor. Daftar agentic memandang sistem yang memakai model untuk memutuskan dan bertindak lewat alat, memori, dan agen lain. Menurut dokumen OWASP, agen memperbesar kerentanan yang sudah ada, dan entri-entri agentic merujuk ke daftar LLM. Risiko baru muncul karena agen memegang kredensial dan bisa menjalankan aksi.

OWASP Top 10 LLM 2025: Sepuluh Risiko Aplikasi Berbasis Model

Daftar yang tercantum di situs OWASP adalah sebagai berikut.

1. LLM01 Prompt Injection: masukan dapat mengubah perilaku model dengan cara yang tidak dimaksudkan. Pembahasan lengkapnya ada di artikel Prompt Injection: Ancaman Utama AI Browser dan AI Agent.
2. LLM02 Sensitive Information Disclosure: data sensitif bocor lewat model atau aplikasinya.
3. LLM03 Supply Chain: model, dataset, dan komponen pihak ketiga dapat membawa kerentanan.
4. LLM04 Data and Model Poisoning: data pelatihan, fine-tuning, atau embedding dirusak.
5. LLM05 Improper Output Handling: keluaran model dipakai tanpa validasi atau sanitasi.
6. LLM06 Excessive Agency: sistem diberi otonomi atau kemampuan lebih dari yang perlu.
7. LLM07 System Prompt Leakage: instruksi internal aplikasi terbuka.
8. LLM08 Vector and Embedding Weaknesses: risiko pada basis data vektor dan pipeline RAG.
9. LLM09 Misinformation: keluaran keliru atau palsu menjadi dasar keputusan.
10. LLM10 Unbounded Consumption: pemakaian sumber daya tanpa batas, yang dapat berujung pada layanan lumpuh, kerugian biaya, penurunan kinerja, hingga pencurian kemampuan model.

OWASP Agentic Top 10 2026: Ketika Model Mulai Bertindak

Dokumen agentic memakai kode ASI01 sampai ASI10. Berikut ringkasannya dalam bahasa sehari-hari, berdasarkan teks dokumen OWASP.

• ASI01 Agent Goal Hijack: tujuan atau rencana agen dibelokkan lewat manipulasi prompt, keluaran alat yang menipu, artefak berbahaya, pesan antaragen palsu, atau data eksternal yang diracuni.
• ASI02 Tool Misuse and Exploitation: alat yang sah dipakai dengan cara keliru karena injeksi, salah arah, atau delegasi yang tidak aman.
• ASI03 Identity and Privilege Abuse: rantai delegasi dan kredensial yang diwarisi dimanfaatkan untuk menaikkan akses.
• ASI04 Agentic Supply Chain Vulnerabilities: model, plug-in, server MCP, dan agen pihak ketiga bisa berbahaya atau disusupi.
• ASI05 Unexpected Code Execution (RCE): kode yang dihasilkan dan dijalankan agen secara real-time dapat melewati kontrol keamanan tradisional.
• ASI06 Memory and Context Poisoning: memori, ringkasan, embedding, dan penyimpanan RAG dirusak sehingga keputusan berikutnya ikut keliru.
• ASI07 Insecure Inter-Agent Communication: pesan antaragen dapat disadap, dimanipulasi, dipalsukan, atau diblokir.
• ASI08 Cascading Failures: satu kesalahan merambat di antara agen dan berubah menjadi kerusakan sistem.
• ASI09 Human-Agent Trust Exploitation: pengguna terlalu percaya pada rekomendasi agen yang fasih dan menyetujui aksi tanpa memeriksa.
• ASI10 Rogue Agents: agen berbahaya atau terkompromi menyimpang dari fungsi dan wewenangnya.

Konsep kunci yang ditambahkan dokumen ini adalah least agency. Selain prinsip hak akses minimum, OWASP menyarankan organisasi menghindari otonomi yang tidak perlu, karena perilaku agentic di tempat yang tidak membutuhkannya hanya memperluas permukaan serangan tanpa nilai tambah. Dokumen yang sama menekankan bahwa observabilitas, yaitu kemampuan melihat apa yang dikerjakan agen dan alat apa yang dipanggilnya, menjadi syarat mutlak. Untuk risiko ASI04, bacaan pendamping kami adalah Keamanan MCP.

Cara Memakai Daftar Ini di Organisasi Anda

Daftar OWASP bukan lembar centang kepatuhan. Ia paling berguna sebagai kerangka percakapan dan peninjauan. Beberapa langkah praktis yang dapat dimulai tim Indonesia, baik startup maupun korporasi:

1. Buat inventaris semua aplikasi AI dan agen yang sudah dipakai, termasuk yang dipasang karyawan sendiri.
2. Untuk tiap agen, catat data apa yang bisa dibaca, alat apa yang bisa dipanggil, dan kredensial apa yang dipegang. Pangkas hingga yang benar-benar perlu.
3. Perlakukan semua teks dari luar (email, tiket, halaman web, dokumen) sebagai tidak tepercaya, apa pun kemasannya.
4. Jangan jadikan model sebagai batas keamanan. Validasi parameter alat dan keluaran model di sisi aplikasi, seperti Anda memvalidasi input pengguna.
5. Minta persetujuan manusia untuk aksi yang tidak bisa dibatalkan, seperti menghapus data, mengirim uang, atau mengubah izin.
6. Catat setiap pemanggilan alat dan pasang batas penggunaan agar biaya dan beban tidak tak terkendali.
7. Petakan temuan ke kerangka lain, misalnya MITRE ATLAS, agar tim SOC memakai kosakata yang sama.

Jika Anda sudah mengenal OWASP Top 10 untuk aplikasi web, anggap daftar AI sebagai pelengkapnya: bug web klasik tetap ada di sekitar agen, hanya saja sekarang ada lapisan baru yang memutuskan sendiri apa yang dipanggil.

Baca juga: Data Poisoning: 250 Dokumen Cukup untuk Menanam Backdoor di LLM.

Pertanyaan yang Sering Diajukan

Apa bedanya OWASP Top 10 LLM dengan OWASP Top 10 Agentic?

Daftar LLM berfokus pada aplikasi yang memakai model bahasa, sedangkan daftar agentic berfokus pada sistem yang merencanakan dan bertindak otonom lewat alat, memori, dan agen lain. Daftar agentic merujuk entri daftar LLM, sehingga keduanya sebaiknya dipakai bersama.

Apakah OWASP Top 10 LLM bersifat wajib?

Tidak. Ini panduan komunitas, bukan regulasi. Namun daftar ini berguna sebagai acuan bersama ketika tim internal, auditor, atau klien menilai keamanan aplikasi AI.

Dari mana tim kecil sebaiknya mulai?

Mulai dari prompt injection (LLM01 dan ASI01), hak akses agen (LLM06, ASI02, dan ASI03), serta penanganan keluaran model (LLM05). Ketiganya menyentuh titik tempat masukan tidak tepercaya berubah menjadi aksi nyata, sehingga perbaikannya langsung mempersempit permukaan serangan.

Kesimpulan

Daftar risiko OWASP memberi Anda kosakata untuk membicarakan keamanan AI secara terstruktur, dari prompt injection sampai agen yang menyimpang. Gunakan keduanya sebagai peta, lalu uji sistem Anda secara nyata. Jika Anda ingin belajar menilai keamanan aplikasi AI secara langsung, kursus Linuxhackingid menyediakan jalur belajar untuk pemula hingga praktisi.