エージェント アプリの OWASP トップ 10: API 開発者が変更する必要があるもの

例： Stripe 統合エージェントは以下にアクセスできます。 GET /api/customers/:id そして POST /api/refunds。 エージェントは顧客の支払い履歴を読み取り、 最高額のトランザクションを処理し、それ自体に払い戻しを発行します。 個々の呼び出しごとに認証が渡されます。 チェーンはエクスプロイトです。

修正: エージェントごとのレート制限とチェーンの深さの追跡

標準のレート制限では、IP ごとまたは API キーごとにリクエストをカウントします。 エージェントのレート制限により、次の 2 つの側面が追加されます。

• ツールごとの制限: 単一のエージェントがウィンドウ内で特定のエンドポイントを呼び出すことができる回数を制限する
• チェーンの深さの制限: エージェントが 1 つのセッションで実行する連続 API 呼び出しの数を追跡し、定義されたしきい値で呼び出しを終了します。

エージェントに送信を要求する X-Agent-Session ヘッダ。 セッションごとの通話数を追跡します。 とき カウントがしきい値を超えると、明確なエラー メッセージを含む 429 が返されます。

3. 不十分なロギング: エージェント API 呼び出しが可視化されない

組織の 48.9% はマシン間のトラフィックを認識していません。 エージェントが API を悪用すると、 答える必要があります: どのエージェントですか? どのエンドポイントですか? どのような順序で？ どのくらいの時間帯でしょうか? 標準アクセスログ IP アドレスとタイムスタンプを表示します。 エージェントの ID や通話シーケンスは表示されません。

OWASP エージェント リストでは、エージェント攻撃が次のように見えるため、ロギングが不十分であることを最大のリスクとしてフラグ付けします。 許可されたトラフィック。 個々のリクエストはすべて認証に合格します。 エクスプロイトはさまざまなパターンに存在します。 複数のリクエスト。

修正: アトリビューションヘッダーとログ呼び出しチェーンが必要

エージェント コンシューマに必要な 3 つのヘッダーを追加します。

• X-Agent-ID: エージェントの一意の識別子 (API キーに関連付けられています)
• X-Agent-Session: 現在のタスクまたは会話の識別子
• User-Agent: エージェントのフレームワークとバージョン (例: LangChain/0.3.1)

// Middleware: log every agent request with attribution
function agentAuditLog(req, res, next) {
  const logEntry = {
    timestamp: new Date().toISOString(),
    agentId: req.headers["x-agent-id"] || "unknown",
    apiKey: req.headers["x-api-key"]?.slice(-8) || "none",
    method: req.method,
    path: req.path,
    sessionId: req.headers["x-agent-session"] || "none",
    ip: req.ip,
    userAgent: req.headers["user-agent"]
  };

  // Structured JSON log for your SIEM
  console.log(JSON.stringify(logEntry));

  // Track chain depth per session
  const session = req.headers["x-agent-session"];
  if (session) {
    const depth = chainTracker.increment(session);
    if (depth > MAX_CHAIN_DEPTH) {
      return res.status(429).json({
        error: "Agent chain depth exceeded",
        maxDepth: MAX_CHAIN_DEPTH,
        currentDepth: depth
      });
    }
  }

  next();
}

このミドルウェアは、すべてのリクエストを構造化された JSON としてログに記録し、SIEM またはログ アグリゲーターにフィードします。 また、セッションごとの連続呼び出しを追跡することで、チェーンの深さを強化します。 事件を捜査すると、 フィルタリングすることで完全なチェーンを再構築できます。 sessionId。

4. 安全でない出力処理: エージェントが検証なしで API 応答を信頼する

エージェントは API を呼び出し、JSON 応答を受信し、それをチェーンの次のステップに渡します。 もし 応答に予期しないフィールド、間違ったタイプ、または挿入されたコンテンツが含まれている場合、エージェントが問題を伝播します。 下流側。 これは、OWASP API10 (API の安全でない使用) と同等のエージェントであり、次のように増幅されます。 それは、エージェントが人間によるレビューなしで自動的に応答を処理するという事実です。

例： 競合他社がサードパーティの価格設定 API を侵害します。 エージェントが製品を取得します 価格、操作された応答を受け取る price フィールドを 0.01 に設定し、注文を出します その価格で。 その反応を見た人間は誰もいません。

修正: JSON スキーマに対してすべての応答を検証する

まず、正常であることがわかっている応答からスキーマを生成します。 の /v1/schema/json-to-jsonschema エンドポイントは、任意のサンプル JSON から JSON スキーマを生成します。

curl -s -X POST https://api.botoi.com/v1/schema/json-to-jsonschema \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "json": {
      "orderId": "ord_12345",
      "status": "shipped",
      "total": 49.99,
      "items": [
        { "sku": "WIDGET-A", "quantity": 2 }
      ]
    }
  }'

応答：

{
  "success": true,
  "data": {
    "schema": {
      "type": "object",
      "properties": {
        "orderId": { "type": "string" },
        "status": { "type": "string" },
        "total": { "type": "number" },
        "items": {
          "type": "array",
          "items": {
            "type": "object",
            "properties": {
              "sku": { "type": "string" },
              "quantity": { "type": "integer" }
            }
          }
        }
      }
    }
  }
}

次に、エージェントが受け取るすべての応答をそのスキーマに対して検証します。 の /v1/schema/validate エンドポイントは、JSON スキーマに対して JSON オブジェクトをチェックし、特定のエラーを返します。

curl -s -X POST https://api.botoi.com/v1/schema/validate \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "schema": {
      "type": "object",
      "required": ["orderId", "status", "total"],
      "properties": {
        "orderId": { "type": "string" },
        "status": { "type": "string", "enum": ["pending", "shipped", "delivered"] },
        "total": { "type": "number", "minimum": 0 }
      },
      "additionalProperties": false
    },
    "data": {
      "orderId": "ord_12345",
      "status": "shipped",
      "total": 49.99,
      "internalNote": "rush order"
    }
  }'

応答：

{
  "success": true,
  "data": {
    "valid": false,
    "errors": [
      {
        "path": "",
        "message": "must NOT have additional properties: internalNote"
      }
    ]
  }
}

検証がキャッチされました internalNote、応答に属さないフィールドです。 APIの場合 が予期しないフィールドを返し始めると、エージェントは汚染されたデータを下流に渡す代わりに処理を停止します。

Botoi Node.js SDK を使用した完全なパターンは次のとおりです。

import Botoi from "botoi";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

// Step 1: generate a schema from a known-good response
const schemaResult = await botoi.schema.jsonToJsonschema({
  json: knownGoodResponse
});
const responseSchema = schemaResult.data.schema;

// Step 2: validate every agent-received response against that schema
async function validateAgentResponse(response) {
  const validation = await botoi.schema.validate({
    schema: responseSchema,
    data: response
  });

  if (!validation.data.valid) {
    console.error("Response failed validation:", validation.data.errors);
    throw new Error("Untrusted response rejected by schema validation");
  }

  return response;
}

5. サプライチェーンの脆弱性: 侵害されたツール定義

AI エージェントは、MCP サーバー、OpenAPI 仕様、およびツール マニフェストを通じてツールを検出します。 攻撃者が改ざんした場合 ツール定義の場合、エージェントは別のエンドポイントを呼び出したり、データを別のサーバーに送信したり、実行したりします。 開発者が意図したものとは異なるパラメータが設定されています。

例： 30 個のツールを定義するオープンソース MCP サーバーを使用します。 攻撃者が提出する 1 つのツールの API URL を変更するプル リクエスト api.stripe.com に api.str1pe.com。 この変更は単一文字であるため、コード レビューに合格します。 あなたのエージェント 攻撃者のサーバーに支払いデータを送信します。

修正: ハッシュ ツール定義と実行時の検証

デプロイ時にすべてのツール定義をハッシュします。 エージェントが実行時にツールを登録する前に、ツールを再度ハッシュします そして比較してください。 の /v1/hash エンドポイントは、任意の文字列の SHA-256 ハッシュを生成します。

curl -s -X POST https://api.botoi.com/v1/hash \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "text": "{\\"name\\":\\"get_order_status\\",\\"description\\":\\"Retrieve current order status by order ID\\",\\"parameters\\":{\\"orderId\\":\\"string\\"}}",
    "algorithm": "sha256"
  }'

応答：

{
  "success": true,
  "data": {
    "hash": "a3f2b8c1d4e5f67890abcdef1234567890abcdef1234567890abcdef12345678",
    "algorithm": "sha256"
  }
}

Botoi SDK を使用した完全な整合性チェック ワークフローは次のとおりです。

import Botoi from "botoi";
import fs from "fs";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

// Hash every tool definition at deploy time
const toolDefs = JSON.parse(fs.readFileSync("./mcp-tools.json", "utf-8"));
const hashes = {};

for (const tool of toolDefs) {
  const result = await botoi.hash.sha256({
    text: JSON.stringify(tool)
  });
  hashes[tool.name] = result.data.hash;
}

fs.writeFileSync("./tool-hashes.json", JSON.stringify(hashes, null, 2));

// At runtime, verify before registering any tool
async function verifyToolIntegrity(tool) {
  const result = await botoi.hash.sha256({
    text: JSON.stringify(tool)
  });
  const expected = hashes[tool.name];

  if (result.data.hash !== expected) {
    throw new Error(
      \`Tool "\${tool.name}" failed integrity check. \\n\` +
      \`Expected: \${expected}\\n\` +
      \`Got: \${result.data.hash}\`
    );
  }
}

CI パイプラインでハッシュ生成ステップを実行します。 ハッシュ ファイルをデプロイメントと一緒に保存します アーティファクト。 実行時には、すべてのツールが登録前に検証されます。 いずれかの単一の変更された文字 ツール定義によりハード障害が発生します。

OWASP エージェント トップ 10 と API セキュリティ トップ 10: 比較

2 つのリストは相互に補完します。 5 つのエージェントのリスクが、最も近い API セキュリティにどのように対応しているかは次のとおりです。 対応するものと変更点:

出荷チェックリスト: エージェント API セキュリティに関する 5 つの修正

それぞれの修正は独立しています。 1 つを選択して出荷し、次のステップに進みます。

次に何が起こるか

エージェントティック アプリケーションの OWASP トップ 10 の完全版は、次の場所にあります。 owasp.org。 Cisco、Microsoft、Google はいずれも、RSAC 2026 でエージェント セキュリティ イニシアチブを発表したため、期待が高まります。 ツールと標準は、今年の残りの期間を通じて迅速に進められます。

リストに残る 5 つのリスク (プロンプト インジェクション、メモリ ポイズニング、カスケード障害、データ) 漏洩および不適切なサンドボックス化など）には、API レイヤーではなく、エージェント フレームワーク レイヤーでの修正が必要です。 もし エージェント フレームワークを実行する場合は、OWASP ドキュメント全体を読んでください。 API を実行する場合、上記の 5 つの修正は次のとおりです。 あなたの出発点。

スコープ付き API キーから始めます。 この 1 つの変更により、過剰な機関やツールの悪用の大部分が阻止されます。 シナリオ。 次に、アトリビューション ヘッダーを追加して、エージェントが何をしているかを確認できるようにします。 残りは以下から続きます 視認性。