Quelle est la version la plus récente du Top 10 OWASP pour les LLM ?

L'édition 2026, datée du 04/08/2026 sur sa couverture. La précédente, dite « version 2025 », datait du 18/11/2024. Le 15/11/2026, la page de liste du site de l'OWASP affichait encore les fiches 2025 : vérifiez l'identifiant (LLM01:2026 ou LLM01:2025) que vous citez.

Qu'est devenue la fuite du prompt système (LLM07:2025) ?

Elle est remplacée en 2026 par LLM08 « Hidden Context Exposure » (exposition du contexte caché), une catégorie plus large qui couvre aussi les schémas d'outils, les règles de filtrage et les rôles placés dans le contexte du modèle.

OWASP Top 10 LLM 2026 : les dix risques expliqués

Le Top 10 de l'OWASP pour les applications de modèles de langage (LLM, large language model) liste les dix risques de sécurité jugés prioritaires pour une application qui intègre un modèle d'IA générative. L'édition 2026, publiée par l'OWASP GenAI Security Project et datée du 04/08/2026, garde l'injection de prompt en tête, fait monter l'agentivité excessive au troisième rang et renomme la fuite du prompt système en « exposition du contexte caché ». L'OWASP est une fondation qui publie des référentiels de sécurité applicative ; le document est sous licence Creative Commons CC BY-SA 4.0.

La liste 2026

Rang	Identifiant et titre officiel	En une phrase	Rang 2025
1	LLM01:2026 Prompt Injection	Un contenu (message, document, image, résultat d'outil) modifie le comportement du modèle	1
2	LLM02:2026 Sensitive Information Disclosure	Des données confidentielles sortent par un canal non autorisé : réponse, journaux, traces, vecteurs	2
3	LLM03:2026 Excessive Agency	La sortie du modèle déclenche des actions privilégiées qu'il n'aurait pas dû pouvoir lancer	6
4	LLM04:2026 Supply Chain	Un modèle, un jeu de données ou un paquet d'outil tiers n'est pas ce qu'il prétend être	3
5	LLM05:2026 Data and Model Poisoning	Des données ou des fichiers de modèle altérés installent un comportement nuisible durable	4
6	LLM06:2026 Unbounded Consumption	L'épuisement des ressources et des coûts	10
7	LLM07:2026 Misinformation	Une réponse fausse mais assurée oriente une décision ou un appel d'outil	9
8	LLM08:2026 Hidden Context Exposure	Le contexte caché (prompt système, règles, schémas d'outils) est extrait ou reconstitué	7 (sous l'ancien nom System Prompt Leakage)
9	LLM09:2026 Vector and Embedding Weaknesses	Les faiblesses des bases vectorielles et des plongements	8
10	LLM10:2026 Improper Output Handling	La sortie du modèle part vers d'autres composants sans validation	5

Ce qui change par rapport à 2025

L'agentivité excessive monte de la sixième à la troisième place. Selon les responsables du projet, c'est le mouvement le plus important : le vote des praticiens et les incidents recensés s'accordent pour dire que les dégâts se produisent surtout dans les déploiements où le modèle agit.
La consommation non bornée gagne quatre places, portée par des praticiens qui pèsent davantage l'épuisement des ressources et des coûts.
La mauvaise gestion des sorties recule le plus, de la cinquième à la dixième place, mais elle couvre désormais le code non sûr produit par les assistants de programmation.
La fuite du prompt système devient l'exposition du contexte caché, un cadre plus large pour le même défaut.
Des risques récents sont rangés dans les catégories existantes : l'injection de prompt couvre maintenant les instructions cachées dans une image ou une piste audio ; l'empoisonnement couvre le détournement de l'affinage d'un modèle.

Comment le classement est construit

Pour la première fois, l'OWASP a confronté le vote des praticiens à des incidents réels. L'équipe a réuni 7 714 incidents tirés de bases publiques de vulnérabilités et d'une base de préjudices liés à l'IA, et en a classé 6 639 suffisamment détaillés. Le vote compte pour trois quarts du classement, les données d'incidents pour un quart.

Deux écarts sont expliqués dans le document. L'injection de prompt sortirait du classement si l'on ne comptait que les incidents publics : les responsables y voient un effet des défenses (les équipes la combattent, donc moins d'attaques réussies sont publiées), et la maintiennent en tête. À l'inverse, la désinformation était placée bas par le vote mais haut par les incidents.

Une frontière à connaître : le Top 10 des agents

Le Top 10 LLM traite le modèle comme un composant d'une application. Dès que le modèle devient un acteur, avec des outils qu'il appelle, une mémoire entre les sessions et des actions en aval, le document renvoie au Top 10 OWASP pour les applications agentiques. Pour un agent, il faut lire les deux listes ensemble.

Lire le Top 10 pour une PME

Prenons une PME qui ouvre un assistant sur ses procédures internes. Les dix entrées ne pèsent pas toutes autant :

LLM01 et LLM09 : toute base documentaire interrogée par le modèle est une porte d'entrée. Voir injection de prompt.
LLM02 : les droits d'accès doivent être appliqués avant la recherche, pas après. Voir fuite de données.
LLM03 : si l'assistant peut envoyer un mail ou modifier un dossier, chaque action sensible doit passer par du code et une validation.
LLM08 : rien de secret dans le prompt système. Voir fuite du prompt système.
LLM06 : des plafonds par utilisateur évitent qu'un usage abusif fasse exploser la facture.

Le document de l'OWASP fait 122 pages, avec pour chaque entrée des exemples, des parades et des scénarios d'attaque, puis une correspondance avec d'autres référentiels (NIST, MITRE ATLAS, CWE). Le tableau ci-dessus est une lecture de cette édition, faite le 15/11/2026 ; reportez-vous au document officiel pour le détail.