OWASP ASI 智能体风险分类框架

它解决什么问题

Agentic 应用把 LLM、工具调用、记忆和多智能体协作拼在一起之后，传统的 Web 安全分类法就不够用了：一次提示注入既可以劫持目标，也可能污染记忆并在 agent 之间扩散。各团队用自己的检测手段（泄漏检测、工具滥用检测、间接注入检测等）抓到的问题，措辞不同、归类口径不同，安全评审时经常无法对齐。

owasp-asi 做的是统一的风险分类层：把 Agentic 应用特有的威胁收敛为 ASI01–ASI10 十类，让你无论从哪个检测入口发现问题，都能映射到同一套口径上。

它如何工作

框架的核心是三组映射规则：

• 风险类别表：ASI01 Agent Goal Hijack（提示注入、目标操纵）到 ASI10 Rogue Agents（恶意 agent 行为），每类都有关键指标描述。
• 检测来源 → ASI：明确某个检测手段（如 data-leakage-detection、tool-abuse-detection、indirect-injection-detection、authorization-bypass-detection、对话式 Prompt Injection 测试、Agent 代码审计）主要命中哪个 ASI，附带次级 ASI。
• Finding → ASI：针对常见发现物（API key、系统提示词、凭据、内部配置、PII 暴露、命令注入、未授权工具调用）直接给出归类及理由。

拿到 finding 后按规则映射到 ASI 类别，再叠加严重度分级：

• Critical 🚨：完整私钥、生产凭据、确认的 RCE、agent 被完全接管，24 小时内修复
• High ⚠️：有限 scope 的 key、认证 token、系统提示词泄露，1 周内修复
• Medium 💡：配置细节、内部端点、元数据泄露，2–4 周处理
• Low ℹ️：通用系统信息、非敏感配置，择机评审

适用边界与注意点

• 它是分类框架而非检测器：本身不发现漏洞，输入 finding 的质量取决于上游检测手段。
• 映射是主次关系（Primary/Secondary ASI），一个 finding 可能同时涉及多个类别，评审时要保留完整链路。
• 严重度分级是通用建议，具体 SLA 需要结合业务上下文调整，不能机械套用 24 小时 / 1 周的期限。
• 表格未覆盖的新发现类型需要人工对照关键指标归类，框架本身不会自动扩展。