何が起きたか
OWASP GenAIセキュリティプロジェクトは、LLMアプリケーションの重要セキュリティリスクの代表的リストであるOWASP Top 10 for LLM Applicationsの2026年版を公開した。今回初めて、ランキングは実務者投票だけでなく、7,700件以上の実世界のAIセキュリティインシデントの分析に基づいている。Excessive Agencyは（2025年版の第6位から）第3位に上昇し、エージェント型AIのエクスポージャー増大を示唆。MisinformationとUnbounded Consumptionは上昇し、Improper Output Handlingは第10位に低下。System Prompt LeakageはHidden Context Exposureに改名され、Supply Chainの対象範囲は侵害されたモデルアーティファクトを含むよう拡大された。このリストはNIST AI RMF、MITRE ATLAS、ISO/IEC 42001関連コントロールに対応している。注記：公開日は情報源によって曖昧である（2026年9月中旬＝対象期間の開始週とする情報源もあれば、「2026年9月」とするものもある）— QAは2026-09-29から2026-10-05の期間内に該当するかどうかを判断すべきである。
なぜ重要か
これはコミュニティで最も広く採用されているAIアプリケーションセキュリティ分類法であり、実インシデントデータに基づいて重み付けされた初の版である。この並べ替えは監査とリスク登録簿の優先順位を直接変更する：Excessive AgencyとMisinformationは現在、内部および第三者AI監査においてより厳格な精査が求められ、GRCチームは改名・拡張されたカテゴリに合わせてコントロールカタログを再マッピングする必要がある。
必要な対応
AIリスク登録簿とコントロールフレームワークを2026年版分類法に更新し、監査およびベンダー調達質問書においてExcessive Agency／Misinformationを再優先化し、改名されたSupply ChainおよびHidden Context Exposureカテゴリを既存のコントロールにマッピングすること。