Le 4 août 2026, le OWASP GenAI Security Project a publié la refonte la plus profonde qu’ait connue l’OWASP Top 10 pour les applications LLM depuis sa création en 2023 : huit des dix catégories ont changé de position, une a été renommée et son périmètre substantiellement élargi. Nouveauté méthodologique inédite pour cette édition : le classement ne repose plus uniquement sur un vote communautaire, mais croise ce vote avec une analyse de 7 714 incidents réels de sécurité LLM, dont 6 639 suffisamment documentés pour être classés, pondérés à 75 % pour le vote et 25 % pour les données d’incidents. Ce croisement a révélé des écarts significatifs entre ce que les praticiens redoutent et ce qui se produit réellement en production, avec des conséquences concrètes sur le classement final.
LLM01 à LLM04 : Prompt Injection, fuite de données et chaîne d’approvisionnement
LLM01:2026 Prompt Injection conserve la première place, déjà détaillée dans notre article dédié, avec un périmètre élargi aux attaques cross-modales (instructions dissimulées dans une image, un fichier audio ou vidéo) et à la persistance en mémoire ou dans un corpus RAG, où une injection réussie une seule fois continue de contaminer chaque interaction ultérieure.
Un paradoxe documenté par les auteurs mérite d’être signalé : le nombre d’incidents recensés pour ce risque est en réalité plus faible que pour d’autres catégories, un signe non pas d’un risque en recul mais d’un effet défensif, les équipes matures luttent activement contre ce vecteur, ce qui limite les compromissions qui atteignent les bases publiques.
LLM02:2026 Sensitive Information Disclosure couvre l’exposition, via les réponses d’un modèle, de données qu’il n’aurait jamais dû révéler tel que les informations personnelles mémorisées lors de l’entraînement, secrets d’entreprise présents dans son contexte, ou détails techniques sur son propre fonctionnement. Cette catégorie couvre la mémorisation involontaire de données d’entraînement et la divulgation de contenu confidentiel inséré dans le contexte d’une conversation. Cette catégorie conserve également sa deuxième position, seule catégorie où le vote communautaire et les données d’incidents concordent parfaitement.
LLM04:2026 Supply Chain recule de la troisième à la quatrième place. Cette catégorie couvre l’ensemble des composants tiers qui entrent dans la construction d’un système LLM : modèles pré-entrainées téléchargés depuis des plateformes communautaires, jeux de données dentrainement d’origine non vérifiée, plugins et extensions installés sans revue de sécurité. Cette édition met un accent particulier sur la défaillance de la chaîne de confiance, un risque d’injection indirecte que nous avons notamment documenté dans notre article sur le slopsquatting, où des attaquants piègent des écosystèmes entiers en enregistrant des paquets logiciels fictifs recommandés par les IA.
LLM05:2026 Data and Model Poisoning recule de la quatrième à la cinquième place et absorbe désormais explicitement la subversion via fine-tuning, un sujet au coeur de notre article sur le Model Poisoning.
LLM03 à LLM10 : le traitement des sorties et l’excès d’autonomie
LLM03:2026 Excessive Agency réalise la progression la plus spectaculaire du classement, de la sixième à la troisième place, la plus forte remontée, et celle où le vote et les données d’incidents s’accordent le plus nettement. Cette catégorie ne porte pas seulement sur les fonctions qu’un agent ne devrait pas posséder, mais aussi sur le fait qu’un agent capable d’entreprendre plus d’actions que sa mission ne l’exige devient, par construction, une surface d’attaque plus large. Cette catégorie, déjà traitée dans nos articles sur les agents IA et le MCP, renvoie désormais explicitement au nouveau OWASP Top 10 for Agentic Applications pour les cas où le modèle n’est plus un simple composant mais un acteur autonome.
LLM08:2026 Hidden Context Exposure (anciennement system prompt leakage) élargit son périmètre : il ne vise plus seulement le prompt système, mais l’extraction de tout le contexte opérationnel masqué (données RAG, schémas d’outils MCP, règles de formatage). L’OWASP pose un principe clé : la fenêtre de contexte n’est pas un espace secret. Ce risque devient critique quand des clés d’API y sont injectées ou que la sécurité repose sur ce contexte caché. Révéler les consignes de modération ou les schémas d’outils offre aux attaquants une cartographie exacte pour contourner les filtres (Prompt Injection) ou exploiter les fonctions en aval. L’autorisation et la modération doivent donc être gérées par des contrôles déterministes externes, sans jamais s’en remettre aux directives textuelles du modèle.
LLM09:2026 Vector and Embedding Weaknesses recule de la huitième à la neuvième place, périmètre inchangé, dont les mécanismes d’exploitation sont illustrés dans notre article sur le RAG Poisoning.
LLM10:2026 Improper Output Handling connaît la chute la plus marquée du classement, de la cinquième à la dixième place, non pas parce que le risque a diminué, mais parce que les vulnérabilités agentiques qui la précèdent sont devenues plus urgentes. Cette catégorie couvre le principe suivant : une sortie de modèle ne doit jamais être considérée comme fiable par défaut. Une réponse générée, transmise sans validation à un navigateur, une base de données ou un interpréteur de commandes, ouvre la voie à des attaques XSS, des injections SQL ou des exécutions de code à distance (RCE). Son périmètre intègre désormais de nouveaux canaux de rendu : les séquences d’échappement ANSI interprétées par un terminal ou un IDE, ainsi que le rendu automatique d’images Markdown ou d’aperçus de liens permettant l’exfiltration discrète de données vers un serveur distant.
LLM06 et LLM07 : la confiance excessive et la consommation incontrôlée
LLM06:2026 Unbounded Consumption connaît la deuxième plus forte progression du classement, de la dixième à la sixième place, avec un recadrage complet : il ne s’agit plus seulement de déni de service classique, mais d’asymétrie de coût, un attaquant peut déclencher un calcul disproportionnellement coûteux pour un effort quasi nul de son côté, un risque amplifié par les modèles à raisonnement étendu et les chaînes d’outils connectées via MCP.
LLM07:2026 Misinformation progresse de la neuvième à la septième place, avec l’écart le plus large observé entre le vote communautaire et les données d’incidents réels dans tout le classement : les praticiens sous-estiment largement ce risque par rapport à sa fréquence réelle. La raison tient à l’évolution des usages : une réponse hallucinée qui déclenche une action automatisée dans un pipeline agentique ne reste plus une simple erreur affichée à l’écran, elle devient une action erronée exécutée en aval. Cette catégorie traite de la production de contenu faux ou trompeur par un modèle, mais surtout de son acceptation sans vérification par les systèmes ou les personnes qui exploitent cette sortie, l’hallucination devient un risque de sécurité à part entière dès lors qu’une décision opérationnelle, financière ou juridique s’appuie dessus sans contrôle.
OWASP LLM Top 10 vs Agentic (ASI) : Quel référentiel appliquer à votre projet IA ?
La nouveauté structurelle la plus importante de 2026 tient dans une frontière tracée pour la première fois entre deux documents complémentaires. Le LLM Top 10 couvre le risque lorsque le modèle est un composant au sein d’une application. Le OWASP Top 10 for Agentic Application As, publié le 9 décembre 2025 et identifié par le préfixe ASI, couvre le risque lorsque le modèle devient un acteur à part entière , capable d’invoquer des outils, de porter une mémoire persistante entre les sessions, et de déclencher des conséquences en aval. Ses dix entrées vont du détournement d’objectif d’un agent (ASI01) aux agents devenus incontrôlables (ASI10). Les auteurs précisent explicitement qu’aucun des deux documents ne couvre l’ensemble du sujet à lui seul : pour toute architecture proche de l’agentique, ce qui concerne désormais une large majorité des déploiements, les deux listes doivent être consultées conjointement, en particulier pour les catégories Excessive Agency et Unbounded Consumption qui renvoient désormais explicitement l’une vers l’autre.
→ Voir notre guide sur les architectures et vecteurs de risques IA pour une vue d’ensemble organisée par brique technique.
FAQ : Sécurité et audit des systèmes LLM selon la grille 2026
Quel référentiel OWASP appliquer ?
Les deux sont complémentaires. Le LLM Top 10 couvre les risques liés au modèle et à l’application. Le Top 10 Agentic s’ajoute lorsque l’IA peut utiliser des outils, conserver une mémoire ou exécuter des actions.
Comment empêcher une fuite de données sensibles ?
Il faut limiter les données transmises au modèle, appliquer les droits d’accès avant la recherche RAG et filtrer les réponses. Les données sensibles doivent être cloisonnées, protégées et soumises à des règles de conservation.
Comment contrôler les actions d’un agent IA ?
L’agent doit appliquer le principe du moindre privilège, utiliser une identité dédiée et être limité par des contrôles externes au modèle. Les actions sensibles doivent nécessiter une validation humaine et pouvoir être arrêtées.
Peut-on faire confiance à une réponse générée ?
Non. Une sortie doit être validée avant d’être envoyée à une base de données, une API, un navigateur ou un terminal. Cette validation permet de limiter les hallucinations, les injections et les actions erronées.
Auditer votre système IA selon le référentiel 2026
Nos experts structurent leurs audits et pentests IA autour de la dernière édition de ce référentiel.
Vous souhaitez échanger sur votre projet ou évaluer vos besoins ? Contactez nos experts.