Приложение В — Сопоставление между OWASP Non-Human Identities Top 10 (2025) и OWASP Agentic AI Top 10
Таблица ниже сопоставляет риски OWASP Non-Human Identities (NHI) Top 10 (2025) с записями OWASP Agentic AI Top 10 (ASI), Agentic-AI Threats & Mitigations (T-коды) и категориями AIVSS Core Risk для демонстрации согласованности между идентичностно-ориентированными и agente-поведенческими рисками.
| NHI ID / Название | Краткое описание | Сопоставленные записи ASI Top 10 | Сопоставленные T-коды / Угрозы и Меры по Смягчению | Сопоставление AIVSS Core Risk |
|---|---|---|---|---|
| NHI1: Improper Offboarding | Неспособность деактивировать или удалить неиспользуемые не-человеческие идентификаторы приводит к постоянной поверхности атаки. | ASI04 — Agentic Supply Chain Vulnerabilities | T17 Supply Chain Compromise · T2 Tool Misuse | Agent Supply Chain & Dependency Attacks |
| NHI2: Secret Leakage | Экспозиция API-ключей, токенов или сертификатов, используемых не-человеческими идентификаторами. | ASI02 — Tool Misuse & Exploitation · ASI06 — Memory & Context Poisoning | T6 Goal Manipulation · T1 Memory Poisoning | Memory Use & Contextual Awareness |
| NHI3: Vulnerable Third-Party NHI | Сторонние интегрированные идентичности скомпрометированы и эксплуатируются. | ASI04 — Supply Chain Vulnerabilities · ASI03 — Identity & Privilege Abuse | T12 Agent Communication Poisoning · T13 Rogue Agents | Agent Supply Chain & Dependency Attacks |
| NHI4: Insecure Authentication | Слабые или устаревшие механизмы аутентификации для NHI. | ASI03 — Identity & Privilege Abuse · ASI07 — Insecure Inter-Agent Communication | T16 Insecure Inter-Agent Protocol Abuse | Agent Access Control Violation |
| NHI5: Overprivileged NHI | Не-человеческие идентичности предоставлены с чрезмерными разрешениями. | ASI02 — Tool Misuse & Exploitation · ASI03 — Identity & Privilege Abuse | T2 Tool Misuse · T3 Privilege Compromise | Agent Access Control Violation |
| NHI6: Insecure Cloud Deployment Configurations | Неправильно сконфигурированные CI/CD и облачные настройки со статическими учётными данными. | ASI04 — Supply Chain Vulnerabilities · ASI05 — Unexpected Code Execution (RCE) | T11 Unexpected RCE & Code Attacks | Insecure Agent Critical Systems Interaction |
| NHI7: Long-Lived Secrets | Учётные данные или ключи с долгим сроком действия увеличивают время пребывания злоумышленника. | ASI06 — Memory & Context Poisoning · ASI08 — Cascading Failures | T4 Memory Overload · T12 Shared Memory Poisoning | Memory Use & Contextual Awareness |
| NHI8: Environment Isolation | Повторное использование NHI между dev/test/prod обеспечивает боковое перемещение. | ASI08 — Cascading Failures · ASI07 — Insecure Inter-Agent Communication | T8 Repudiation & Untraceability · T12 Agent Communication Poisoning | Agent Cascading Failures |
| NHI9: NHI Reuse | Повторное использование того же NHI между сервисами усиливает воздействие компрометации. | ASI08 — Cascading Failures · ASI04 — Supply Chain Vulnerabilities | T5 Cascading Hallucination Attacks · T13 Rogue Agents | Agent Cascading Failures |
| NHI10: Human Use of NHI | Люди, использующие не-человеческие учётные данные, вызывают потерю подотчётности и misuse привилегий. | ASI09 — Human-Agent Trust Exploitation · ASI01 — Agent Goal Hijack | T10 Overwhelming Human in the Loop · T7 Misaligned & Deceptive Behaviors | Agent Untraceability / Human Manipulation |
genai.owasp.org