OWASP「LLM Top 10 2026」でExcessive Agencyは本当に3位なのか｜言説の出どころを確かめる

OWASP「LLM Top 10 2026」でExcessive Agencyは本当に3位なのか｜言説の出どころを確かめる

「OWASPの新しいTop 10で、AIエージェントの過剰な権限（Excessive Agency）が3位に上がったらしい」——2026年9月、こうした話を見かけた担当者もいるかもしれません。もし本当にOWASPが公式にそう格付けしたのであれば、権限設計の優先順位を見直す材料になります。ですが、この「3位」という数字がどこから来ているのかを一次情報までたどると、話はそう単純ではありません。

30秒で要点

• OWASP Gen AI Security Projectは2026年9月1日（プレスリリース本文の日付表記は9月2日）、「Top 10 for LLM Applications」の2026年版を公開したと発表した（OWASP発表文）
• 発表文には「専門家の判断と実インシデントの記録が最も明確に一致したリスクはExcessive Agencyであり、現在3位である」というスポンサー企業役員のコメントが引用されている。ただしこれはOWASP自身が掲載した順位一覧ではない
• OWASP公式の「Top 10」一覧ページは2026年9月11日時点でも2025年版のままで、そこではExcessive AgencyはLLM06:2025（6位）と表記されている
• OWASPが自ら公表する順位一覧の中身（PDF本体）はまだ手元で確認できておらず、この記事で扱えるのは発表文と紹介ページの記載範囲にとどまる

なぜ「3位になった」が独り歩きしやすいのか

セキュリティ関連の発表を見るとき、多くの読者は「公式な順位が発表された」という前提で数字を受け取ります。プレスリリースにランキングらしき数字と役員のコメントが並んでいれば、それが公式な格付けそのものだと感じるのは自然な反応です。ニュース記事や要約が「〇位に上がった」という一文だけを切り出して伝えると、なおさらその印象は強まります。

しかし、プレスリリースという文書の性質上、そこに含まれる引用コメントと、団体が正式に公表する成果物（この場合は順位一覧のPDF）は別物です。発表文にはスポンサー企業の役員が自社の視点でコメントする欄が設けられることが多く、そのコメントは団体としての公式見解と一致するとは限りません。この区別を意識しないまま「発表文に書いてあった数字」を「公式な順位」として扱ってしまうと、実際には未確認の情報を確定事実として社内で共有してしまうことになります。

発表文で確認できること

OWASP Gen AI Security Projectは2026年9月1日、「Top 10 for LLM Applications」の2026年版を公開したと発表しました。ブログ記事の著者表記は「September 1, 2026」、転載されたプレスリリース本文の日付は「Sept. 2, 2026」で、原文にもこの1日のずれがそのまま存在しています（OWASP発表文）。発表文によれば、2026年版は公開後48時間で1万ダウンロードを突破しました。

OWASP自身の説明では、2026年版は「数百人のAIセキュリティ専門家の寄与」に加え、「数千件の実インシデントに基づく研究」を反映して作成されたとされています。これは、これまでの版が専門家コミュニティの投票や合議で順位を決めていたのに対し、実際に起きたインシデントのデータとの突き合わせという要素が新たに加わったことを意味します。この発表ではあわせて、エージェントの実行時統制を扱う「Agent Control Standard（ACS）」がOWASP GenAI Security Projectに寄贈されたことも明らかにされています。

そして発表文には、スポンサー企業Zenityの共同創業者兼CTOであるMichael Bargury氏のコメントが引用されています。「This is the first edition to weigh the community's ranking against a large body of real incident data, and the risk where expert judgment and the record agree most clearly is Excessive Agency, now number three.（今回の版は、コミュニティの順位付けを大量の実インシデントデータと突き合わせた初めての版であり、専門家の判断と記録が最も明確に一致したリスクはExcessive Agencyであり、現在3位である）」というものです。

発表文で確認できないこと

ここで立ち止まって確認すべきなのは、この「3位」という言葉が誰の発言として書かれているか、という点です。これはOWASPという団体が発行した順位一覧の中の記述ではなく、スポンサー企業の役員が自らの見解として述べたコメントとして、発表文の中に引用されている形です。OWASP自身が公表する2026年版の個別順位一覧（PDF本体）は、本稿の執筆時点で取得できていません。

さらに、OWASP公式のリソースページ（2026年版の紹介ページ）を確認すると、本文には個別のリスク項目一覧が掲載されておらず、順位一覧はPDFダウンロード経由でのみ入手できる形式になっています（OWASPリソースページ）。加えて、このページに表示されている日付は「August 3, 2026」で、9月1日・9月2日の発表よりも前の日付になっています。ページの更新履歴が発表と同期していない可能性があり、この点も含めて一次資料の内容確認は完了していません。

もう一つ確認すべき点があります。OWASP公式の「Top 10」一覧ページ（llm-top-10/）を見ると、2026年9月11日時点でも掲載されているのは2025年版のままです。ページ表示は「2025 Top 10 Risk & Mitigations for LLMs and Gen AI Apps」であり、LLM01からLLM10まで、Prompt Injection、Sensitive Information Disclosure、Supply Chain、Data and Model Poisoning、Improper Output Handling、Excessive Agency、System Prompt Leakage、Vector and Embedding Weaknesses、Misinformation、Unbounded Consumptionの順に並んでいます（OWASP Top 10一覧ページ）。ここでのExcessive AgencyはLLM06:2025、つまり6位です。つまり、最も参照されやすい公式の一覧ページ自体が、まだ2026年版に切り替わっていません。

もう一つ注意すべき混同——別の文書と取り違えない

この題材を扱う上で、もう一つ注意が必要な点があります。OWASPには「Top 10 for LLM Applications」とは別に、「Top 10 for Agentic Applications for 2026」という文書が存在します。こちらは2025年12月9日に公開されたもので、100名を超える業界専門家の査読を経た、自律的に行動するAIエージェント向けの技術フレームワークです。名称が近く、どちらもAIエージェントのリスクに言及するため混同しやすいですが、発表時期も文書としての性格も異なる別物です。この違いを分けずに語ると、「OWASPの〇〇という文書に書いてあった」という説明自体が、実際にはどちらの文書を指しているのか分からなくなります。

確かなことと、まだ確かではないこと

確かなこと: OWASP Gen AI Security Projectが2026年9月1日に「Top 10 for LLM Applications」2026年版の公開を発表したこと。発表後48時間で1万ダウンロードを突破したこと。発表文にスポンサー企業役員による「Excessive Agencyが現在3位」というコメントが引用されていること。OWASP公式の「Top 10」一覧ページが2026年9月11日時点でも2025年版のままであり、そこではExcessive Agencyが6位であること。

まだ確かではないこと: OWASP自身が公表する2026年版の個別順位一覧（PDF本体）の中身。「Excessive Agencyが3位」という記述が、スポンサー役員個人の見解を超えて、OWASPコミュニティが正式に合意した順位として一覧に反映されているかどうか。OWASPリソースページの日付表記（8月3日）が発表日（9月1日・9月2日）とずれている理由。

自分でも試せる、最小の検証

社内でこの話題が「OWASPの新しいランキングでExcessive Agencyが3位になったらしい」という形で共有されているのを見かけたら、その情報の出どころが「OWASPが公表した順位一覧そのもの」なのか、「発表文に引用された誰かのコメント」なのかを、原文に戻って確かめてみてください。プレスリリースには一次資料の性格を持つ部分（団体としての公式発表）と、二次的な引用（関係者個人のコメント）が混在していることが多く、この2つを分けて読む習慣があるかどうかで、社内で共有される情報の正確さが変わります。

判断に迷ったときに立ち返る問い

「〇〇団体が新しい順位を発表した」という話を聞いたとき、その順位が団体自身の一覧に載っているのか、それとも発表文中の誰かの発言として載っているのかを、先に確認すること。 今回のケースでは、Excessive Agencyの「3位」という数字はスポンサー企業役員のコメントであり、OWASP自身が公表した順位一覧の中身は本稿執筆時点で未確認のままです。数字の出どころを一次資料の構造まで遡って確認する姿勢が、セキュリティに関する社内判断の精度を左右します。

OWASPとIPAという2つの公式指標の性格の違いはIPAとOWASP、2つのAIエージェント脅威指標——経営判断と実装判断の境界線で、権限設計を「鍵の共有」から「身元の発行」に切り替える動きはAIエージェントに「鍵」を配るのをやめる｜Okta Agent SSOが示した資格情報から身元への設計変更で扱っています。この記事は、それらとは別に、公式発表とその中の引用コメントをどう区別して読むかという整理を目的にしています。

この記事で扱ったような判断を、自社の状況に照らして整理したい場合は、無料診断ツールで状況を言語化するところから始めることができます。