Топ-10 OWASP для агентских приложений: что нужно изменить разработчикам API

Пример: Агент интеграции Stripe имеет доступ к GET /api/customers/:id и POST /api/refunds. Агент читает историю платежей клиента, определяет транзакцию с наибольшей стоимостью и возвращает деньги самому себе. Каждый отдельный звонок проходит авторизацию. Цепочка — это эксплойт.

Исправлено: ограничения скорости для каждого агента и отслеживание глубины цепочки.

Стандартное ограничение скорости учитывает запросы по IP-адресу или по ключу API. Агентское ограничение ставок добавляет два аспекта:

• Ограничения для каждого инструмента: Ограничить количество раз, сколько раз один агент может вызывать определенную конечную точку в пределах окна.
• Ограничения по глубине цепи: Отслеживайте, сколько последовательных вызовов API выполняет агент за один сеанс, и отключайте их при определенном пороге.

Требовать от агентов отправки X-Agent-Session заголовок. Отслеживайте количество звонков за сеанс. Когда количество превышает ваш порог, верните 429 с четким сообщением об ошибке.

3. Недостаточное ведение журнала: нет видимости вызовов API агента.

48,9% организаций не видят межмашинного трафика. Когда агент использует ваш API, вы нужно ответить: какой агент? Какие конечные точки? В каком порядке? В каком временном окне? Стандартные журналы доступа показывать IP-адреса и временные метки. Они не показывают личность агента или последовательность вызовов.

В списке агентов OWASP недостаточное ведение журналов помечается как главный риск, поскольку атаки агентов выглядят как разрешенный трафик. Каждый отдельный запрос проходит авторизацию. Эксплойт живет в шаблоне по всему несколько запросов.

Исправлено: требовать заголовки атрибуции и регистрировать цепочки вызовов.

Добавьте три обязательных заголовка для потребителей агентов:

• X-Agent-ID: уникальный идентификатор агента (привязанный к его ключу API)
• X-Agent-Session: идентификатор текущей задачи или разговора
• User-Agent: структура и версия агента (например, LangChain/0.3.1)

// Middleware: log every agent request with attribution
function agentAuditLog(req, res, next) {
  const logEntry = {
    timestamp: new Date().toISOString(),
    agentId: req.headers["x-agent-id"] || "unknown",
    apiKey: req.headers["x-api-key"]?.slice(-8) || "none",
    method: req.method,
    path: req.path,
    sessionId: req.headers["x-agent-session"] || "none",
    ip: req.ip,
    userAgent: req.headers["user-agent"]
  };

  // Structured JSON log for your SIEM
  console.log(JSON.stringify(logEntry));

  // Track chain depth per session
  const session = req.headers["x-agent-session"];
  if (session) {
    const depth = chainTracker.increment(session);
    if (depth > MAX_CHAIN_DEPTH) {
      return res.status(429).json({
        error: "Agent chain depth exceeded",
        maxDepth: MAX_CHAIN_DEPTH,
        currentDepth: depth
      });
    }
  }

  next();
}

Это промежуточное программное обеспечение регистрирует каждый запрос в виде структурированного JSON, который передается в любой SIEM или агрегатор журналов. Он также обеспечивает глубину цепочки, отслеживая последовательные вызовы за сеанс. Когда вы расследуете инцидент, вы можете восстановить полную цепочку, отфильтровав sessionId.

4. Небезопасная обработка вывода: агенты доверяют ответам API без проверки.

Агент вызывает ваш API, получает ответ в формате JSON и передает его на следующий шаг в своей цепочке. Если ответ содержит неожиданные поля, неправильные типы или внедренный контент, агент распространяет проблему ниже по течению. Это агентский эквивалент OWASP API10 (небезопасное использование API), усиленный тот факт, что агенты обрабатывают ответы автоматически, без проверки человеком.

Пример: Конкурент компрометирует сторонний API ценообразования. Агент доставит товар цены, получает ответ с манипулируемой price поле установлено на 0,01 и размещает заказ по этой цене. Ни один человек никогда не видел ответа.

Исправление: проверяйте каждый ответ по схеме JSON.

Начните с создания схемы на основе заведомо хорошего ответа. /v1/schema/json-to-jsonschema Конечная точка создает схему JSON из любого образца JSON:

curl -s -X POST https://api.botoi.com/v1/schema/json-to-jsonschema \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "json": {
      "orderId": "ord_12345",
      "status": "shipped",
      "total": 49.99,
      "items": [
        { "sku": "WIDGET-A", "quantity": 2 }
      ]
    }
  }'

Ответ:

{
  "success": true,
  "data": {
    "schema": {
      "type": "object",
      "properties": {
        "orderId": { "type": "string" },
        "status": { "type": "string" },
        "total": { "type": "number" },
        "items": {
          "type": "array",
          "items": {
            "type": "object",
            "properties": {
              "sku": { "type": "string" },
              "quantity": { "type": "integer" }
            }
          }
        }
      }
    }
  }
}

Затем проверьте каждый ответ, который получает ваш агент, на соответствие этой схеме. /v1/schema/validate Конечная точка проверяет объект JSON на соответствие любой схеме JSON и возвращает определенные ошибки:

curl -s -X POST https://api.botoi.com/v1/schema/validate \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "schema": {
      "type": "object",
      "required": ["orderId", "status", "total"],
      "properties": {
        "orderId": { "type": "string" },
        "status": { "type": "string", "enum": ["pending", "shipped", "delivered"] },
        "total": { "type": "number", "minimum": 0 }
      },
      "additionalProperties": false
    },
    "data": {
      "orderId": "ord_12345",
      "status": "shipped",
      "total": 49.99,
      "internalNote": "rush order"
    }
  }'

Ответ:

{
  "success": true,
  "data": {
    "valid": false,
    "errors": [
      {
        "path": "",
        "message": "must NOT have additional properties: internalNote"
      }
    ]
  }
}

Проверка поймана internalNote, поле, которому не место в ответе. Если API начинает возвращать неожиданные поля, ваш агент прекращает обработку вместо передачи испорченных данных вниз по течению.

Вот полный шаблон с использованием Botoi Node.js SDK:

import Botoi from "botoi";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

// Step 1: generate a schema from a known-good response
const schemaResult = await botoi.schema.jsonToJsonschema({
  json: knownGoodResponse
});
const responseSchema = schemaResult.data.schema;

// Step 2: validate every agent-received response against that schema
async function validateAgentResponse(response) {
  const validation = await botoi.schema.validate({
    schema: responseSchema,
    data: response
  });

  if (!validation.data.valid) {
    console.error("Response failed validation:", validation.data.errors);
    throw new Error("Untrusted response rejected by schema validation");
  }

  return response;
}

5. Уязвимости цепочки поставок: определения скомпрометированных инструментов

Агенты ИИ обнаруживают инструменты через серверы MCP, спецификации OpenAPI и манифесты инструментов. Если злоумышленник модифицирует определения инструмента, агент вызывает другую конечную точку, отправляет данные на другой сервер или выполняет с другими параметрами, чем задумал разработчик.

Пример: Вы используете сервер MCP с открытым исходным кодом, который определяет 30 инструментов. Злоумышленник представляет запрос на включение, который изменяет URL-адрес API одного инструмента с api.stripe.com к api.str1pe.com. Изменение проходит проверку кода, поскольку оно представляет собой один символ. Ваш агент теперь отправляет платежные данные на сервер злоумышленника.

Исправлено: определения инструментов хеширования и проверка во время выполнения.

Хешируйте каждое определение инструмента во время развертывания. Прежде чем ваш агент зарегистрирует инструмент во время выполнения, еще раз хэшируйте его. и сравните. /v1/hash конечная точка генерирует хеш SHA-256 любой строки:

curl -s -X POST https://api.botoi.com/v1/hash \\
  -H "Content-Type: application/json" \\
  -H "X-API-Key: YOUR_API_KEY" \\
  -d '{
    "text": "{\\"name\\":\\"get_order_status\\",\\"description\\":\\"Retrieve current order status by order ID\\",\\"parameters\\":{\\"orderId\\":\\"string\\"}}",
    "algorithm": "sha256"
  }'

Ответ:

{
  "success": true,
  "data": {
    "hash": "a3f2b8c1d4e5f67890abcdef1234567890abcdef1234567890abcdef12345678",
    "algorithm": "sha256"
  }
}

Вот полный рабочий процесс проверки целостности с использованием Botoi SDK:

import Botoi from "botoi";
import fs from "fs";

const botoi = new Botoi({ apiKey: process.env.BOTOI_API_KEY });

// Hash every tool definition at deploy time
const toolDefs = JSON.parse(fs.readFileSync("./mcp-tools.json", "utf-8"));
const hashes = {};

for (const tool of toolDefs) {
  const result = await botoi.hash.sha256({
    text: JSON.stringify(tool)
  });
  hashes[tool.name] = result.data.hash;
}

fs.writeFileSync("./tool-hashes.json", JSON.stringify(hashes, null, 2));

// At runtime, verify before registering any tool
async function verifyToolIntegrity(tool) {
  const result = await botoi.hash.sha256({
    text: JSON.stringify(tool)
  });
  const expected = hashes[tool.name];

  if (result.data.hash !== expected) {
    throw new Error(
      \`Tool "\${tool.name}" failed integrity check. \\n\` +
      \`Expected: \${expected}\\n\` +
      \`Got: \${result.data.hash}\`
    );
  }
}

Запустите этап генерации хеша в конвейере CI. Храните файл хэшей вместе с вашим развертыванием. артефакт. Во время выполнения каждый инструмент проверяется перед регистрацией. Один измененный персонаж в любом определение инструмента вызывает серьезный сбой.

Топ-10 агентов OWASP и топ-10 API Security: сравнение

Оба списка дополняют друг друга. Вот как пять агентных рисков соотносятся с ближайшим к ним API безопасности. аналоги и что меняется:

Контрольный список поставки: пять исправлений безопасности агентного API

Каждое исправление независимо. Выберите один, отправьте его и переходите к следующему.

Что будет дальше

Полный список 10 лучших агентских приложений OWASP доступен по адресу owasp.org. Cisco, Microsoft и Google анонсировали инициативы по агентной безопасности на RSAC 2026, так что ожидайте инструменты и стандарты для быстрого продвижения до конца года.

Пять оставшихся рисков в списке (быстрое внедрение, отравление памяти, каскадные сбои, Утечки и неадекватная песочница) требуют исправлений на уровне структуры агента, а не на уровне API. Если вы запускаете структуру агента, прочитайте полный документ OWASP. Если вы используете API, перечисленные выше пять исправлений: ваша отправная точка.

Начните с ключей API с ограниченной областью действия. Это единственное изменение блокирует большую часть чрезмерного вмешательства и злоупотребления инструментами. сценарии. Затем добавьте заголовки атрибуции, чтобы вы могли видеть, что делают ваши агенты. Остальное следует из видимость.