OWASP 10 Teratas untuk aplikasi agen: apa yang perlu diubah oleh pengembang API

Contoh: Agen integrasi Stripe memiliki akses ke GET /api/customers/:id Dan POST /api/refunds. Agen membaca riwayat pembayaran pelanggan, mengidentifikasi transaksi bernilai tertinggi, dan mengeluarkan pengembalian dana untuk dirinya sendiri. Setiap panggilan individu melewati otorisasi. Rantai adalah eksploitasinya.

Solusi: batas tarif per agen dan pelacakan kedalaman rantai

Pembatasan tarif standar menghitung permintaan per IP atau per kunci API. Pembatasan tarif agen menambahkan dua dimensi:

• Batasan per alat: Batasi berapa kali satu agen dapat memanggil titik akhir tertentu dalam satu jendela
• Batas kedalaman rantai: Lacak berapa banyak panggilan API berurutan yang dilakukan agen dalam satu sesi dan hentikan pada ambang batas yang ditentukan

Mewajibkan agen untuk mengirim X-Agent-Session tajuk. Lacak jumlah panggilan per sesi. Ketika hitungan melebihi ambang batas Anda, kembalikan 429 dengan pesan kesalahan yang jelas.

3. Pencatatan log tidak memadai: tidak ada visibilitas terhadap panggilan API agen

48,9% organisasi tidak mengetahui lalu lintas mesin-ke-mesin. Saat agen mengeksploitasi API Anda, Anda perlu menjawab: agen yang mana? Titik akhir yang mana? Dalam urutan apa? Pada jendela jam berapa? Log akses standar tampilkan alamat IP dan stempel waktu. Mereka tidak menunjukkan identitas agen atau urutan panggilan.

Daftar agen OWASP menandai pencatatan log yang tidak memadai sebagai risiko utama karena serangan agen terlihat seperti itu lalu lintas resmi. Setiap permintaan individu melewati autentikasi. Eksploitasinya hidup dalam pola yang melintang beberapa permintaan.

Perbaiki: memerlukan header atribusi dan mencatat rantai panggilan

Tambahkan tiga header yang diperlukan untuk konsumen agen:

• X-Agent-ID: pengidentifikasi unik untuk agen (terkait dengan kunci API-nya)
• X-Agent-Session: pengidentifikasi untuk tugas atau percakapan saat ini
• User-Agent: kerangka kerja dan versi agen (mis., LangChain/0.3.1)

// Middleware: log every agent request with attribution
function agentAuditLog(req, res, next) {
  const logEntry = {
    timestamp: new Date().toISOString(),
    agentId: req.headers["x-agent-id"] || "unknown",
    apiKey: req.headers["x-api-key"]?.slice(-8) || "none",
    method: req.method,
    path: req.path,
    sessionId: req.headers["x-agent-session"] || "none",
    ip: req.ip,
    userAgent: req.headers["user-agent"]
  };

  // Structured JSON log for your SIEM
  console.log(JSON.stringify(logEntry));

  // Track chain depth per session
  const session = req.headers["x-agent-session"];
  if (session) {
    const depth = chainTracker.increment(session);
    if (depth > MAX_CHAIN_DEPTH) {
      return res.status(429).json({
        error: "Agent chain depth exceeded",
        maxDepth: MAX_CHAIN_DEPTH,
        currentDepth: depth
      });
    }
  }

  next();
}

Middleware ini mencatat setiap permintaan sebagai JSON terstruktur, yang dimasukkan ke dalam SIEM atau agregator log apa pun. Ini juga menerapkan kedalaman rantai dengan melacak panggilan berurutan per sesi. Saat Anda menyelidiki suatu kejadian, Anda dapat merekonstruksi rantai penuh dengan memfilter sessionId.

4. Penanganan keluaran tidak aman: agen mempercayai respons API tanpa validasi

Agen memanggil API Anda, menerima respons JSON, dan meneruskannya ke langkah berikutnya dalam rangkaiannya. Jika respons berisi bidang yang tidak diharapkan, jenis yang salah, atau konten yang dimasukkan, agen akan menyebarkan masalah hilir. Ini setara dengan OWASP API10 (konsumsi API yang tidak aman), yang diperkuat oleh fakta bahwa agen memproses tanggapan secara otomatis tanpa tinjauan manusia.

Contoh: Pesaing mengkompromikan API penetapan harga pihak ketiga. Agen mengambil produk harga, menerima respon dengan dimanipulasi price bidang diatur ke 0,01, dan melakukan pemesanan dengan harga itu. Tidak ada manusia yang pernah melihat tanggapannya.

Perbaiki: validasi setiap respons terhadap Skema JSON

Mulailah dengan membuat skema dari respons yang diketahui baik. Itu /v1/schema/json-to-jsonschema titik akhir menghasilkan Skema JSON dari sampel JSON apa pun:

curl -s -X POST https://api.botoi.com/v1/schema/json-to-jsonschema \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "json": {
      "orderId": "ord_12345",
      "status": "shipped",
      "total": 49.99,
      "items": [
        { "sku": "WIDGET-A", "quantity": 2 }
      ]
    }
  }'

Tanggapan:

{
  "success": true,
  "data": {
    "schema": {
      "type": "object",
      "properties": {
        "orderId": { "type": "string" },
        "status": { "type": "string" },
        "total": { "type": "number" },
        "items": {
          "type": "array",
          "items": {
            "type": "object",
            "properties": {
              "sku": { "type": "string" },
              "quantity": { "type": "integer" }
            }
          }
        }
      }
    }
  }
}

Kemudian validasi setiap respons yang diterima agen Anda terhadap skema tersebut. Itu /v1/schema/validate titik akhir memeriksa objek JSON terhadap Skema JSON apa pun dan mengembalikan kesalahan tertentu:

curl -s -X POST https://api.botoi.com/v1/schema/validate \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "schema": {
      "type": "object",
      "required": ["orderId", "status", "total"],
      "properties": {
        "orderId": { "type": "string" },
        "status": { "type": "string", "enum": ["pending", "shipped", "delivered"] },
        "total": { "type": "number", "minimum": 0 }
      },
      "additionalProperties": false
    },
    "data": {
      "orderId": "ord_12345",
      "status": "shipped",
      "total": 49.99,
      "internalNote": "rush order"
    }
  }'

Tanggapan:

{
  "success": true,
  "data": {
    "valid": false,
    "errors": [
      {
        "path": "",
        "message": "must NOT have additional properties: internalNote"
      }
    ]
  }
}

Validasi tertangkap internalNote, bidang yang tidak termasuk dalam respons. Jika API mulai mengembalikan bidang yang tidak terduga, agen Anda berhenti memproses alih-alih meneruskan data yang tercemar ke hilir.

Berikut pola lengkap menggunakan Botoi Node.js SDK:

import Botoi from "botoi";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

// Step 1: generate a schema from a known-good response
const schemaResult = await botoi.schema.jsonToJsonschema({
  json: knownGoodResponse
});
const responseSchema = schemaResult.data.schema;

// Step 2: validate every agent-received response against that schema
async function validateAgentResponse(response) {
  const validation = await botoi.schema.validate({
    schema: responseSchema,
    data: response
  });

  if (!validation.data.valid) {
    console.error("Response failed validation:", validation.data.errors);
    throw new Error("Untrusted response rejected by schema validation");
  }

  return response;
}

5. Kerentanan rantai pasokan: definisi alat yang dikompromikan

Agen AI menemukan alat melalui server MCP, spesifikasi OpenAPI, dan manifes alat. Jika penyerang memodifikasi definisi alat, agen memanggil titik akhir yang berbeda, mengirimkan data ke server yang berbeda, atau mengeksekusi dengan parameter berbeda dari yang diinginkan pengembang.

Contoh: Anda menggunakan server MCP sumber terbuka yang mendefinisikan 30 alat. Seorang penyerang mengajukan permintaan tarik yang mengubah URL API salah satu alat api.stripe.com ke api.str1pe.com. Perubahan lolos peninjauan kode karena hanya berupa karakter tunggal. Agen Anda sekarang mengirimkan data pembayaran ke server penyerang.

Perbaiki: definisi alat hash dan verifikasi saat runtime

Hash setiap definisi alat pada waktu penerapan. Sebelum agen Anda mendaftarkan alat pada waktu proses, lakukan hashing lagi dan bandingkan. Itu /v1/hash titik akhir menghasilkan hash SHA-256 dari string apa pun:

curl -s -X POST https://api.botoi.com/v1/hash \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "text": "{\\"name\\":\\"get_order_status\\",\\"description\\":\\"Retrieve current order status by order ID\\",\\"parameters\\":{\\"orderId\\":\\"string\\"}}",
    "algorithm": "sha256"
  }'

Tanggapan:

{
  "success": true,
  "data": {
    "hash": "a3f2b8c1d4e5f67890abcdef1234567890abcdef1234567890abcdef12345678",
    "algorithm": "sha256"
  }
}

Berikut alur kerja pemeriksaan integritas penuh menggunakan Botoi SDK:

import Botoi from "botoi";
import fs from "fs";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

// Hash every tool definition at deploy time
const toolDefs = JSON.parse(fs.readFileSync("./mcp-tools.json", "utf-8"));
const hashes = {};

for (const tool of toolDefs) {
  const result = await botoi.hash.sha256({
    text: JSON.stringify(tool)
  });
  hashes[tool.name] = result.data.hash;
}

fs.writeFileSync("./tool-hashes.json", JSON.stringify(hashes, null, 2));

// At runtime, verify before registering any tool
async function verifyToolIntegrity(tool) {
  const result = await botoi.hash.sha256({
    text: JSON.stringify(tool)
  });
  const expected = hashes[tool.name];

  if (result.data.hash !== expected) {
    throw new Error(
      \`Tool "\${tool.name}" failed integrity check. \\n\` +
      \`Expected: \${expected}\\n\` +
      \`Got: \${result.data.hash}\`
    );
  }
}

Jalankan langkah pembuatan hash di alur CI Anda. Simpan file hash bersama penerapan Anda artefak. Saat runtime, setiap alat diverifikasi sebelum pendaftaran. Satu karakter yang berubah dalam hal apa pun definisi alat memicu kegagalan besar.

10 teratas agen OWASP vs 10 teratas Keamanan API: perbandingan

Kedua daftar tersebut saling melengkapi. Berikut cara lima risiko agen dipetakan ke Keamanan API terdekatnya rekanan dan perubahan apa:

Daftar periksa pengiriman: lima perbaikan untuk keamanan API agen

Setiap perbaikan bersifat independen. Pilih satu, kirimkan, lanjutkan ke yang berikutnya.

Apa yang terjadi selanjutnya

10 Teratas OWASP untuk Aplikasi Agenik selengkapnya ada di owasp.org. Cisco, Microsoft, dan Google semuanya mengumumkan inisiatif keamanan agen di RSAC 2026, seperti yang diharapkan perkakas dan standar untuk bergerak cepat sepanjang sisa tahun ini.

Lima risiko yang tersisa dalam daftar (Prompt Injection, Memory Poisoning, Cascading Failures, Data Kebocoran, dan Sandboxing yang Tidak Memadai) memerlukan perbaikan pada lapisan kerangka agen, bukan pada lapisan API. Jika Anda menjalankan kerangka agen, baca dokumen OWASP selengkapnya. Jika Anda menjalankan API, lima perbaikan di atas adalah titik awal Anda.

Mulailah dengan kunci API yang dicakup. Perubahan tunggal tersebut menghalangi sebagian besar tindakan berlebihan dan penyalahgunaan alat skenario. Kemudian tambahkan header atribusi sehingga Anda dapat melihat apa yang dilakukan agen Anda. Sisanya mengikuti dari visibilitas.