OWASP Top 10 LLM 2026: da lista à prova de auditoria

O OWASP Top 10 LLM tem nova edição desde 3 de agosto de 2026, e nunca a ordem mudou tanto entre duas versões. Excessive Agency (capacidade de ação excessiva) sobe ao terceiro lugar, System Prompt Leakage passa a chamar-se Hidden Context Exposure e, pela primeira vez, a classificação foi confrontada com 7714 incidentes reais. A maioria dos textos limita-se a repetir as dez entradas. Este guia lê o OWASP Top 10 LLM como um auditor ou uma autoridade de fiscalização do mercado: o que mudou de lugar, como se construiu a classificação, que deveres europeus cada entrada toca e que registos provam que a organização tratou do assunto.

O essencial

• O OWASP Top 10 LLM de 2026 saiu a 3 de agosto: oito das dez entradas mudaram de posição, Prompt Injection e Sensitive Information Disclosure não.
• A ordem pondera o voto dos profissionais (75%) e um registo de incidentes (25%): sinal de consenso, não pontuação de risco do seu sistema.
• O Apêndice A liga a lista a nove referenciais de segurança; o Regulamento da IA e a ISO/IEC 42001 não constam.
• O artigo 15.º, n.º 5, do Regulamento da IA nomeia envenenamento de dados, envenenamento de modelos, exemplos antagónicos, ataques de confidencialidade e falhas do modelo: os cinco estão na lista.
• A lista é voluntária; a prova não, quando se aplica o Regulamento da IA, o de Ciber-Resiliência, o RGPD, a NIS2 ou o DORA.

O que é o OWASP Top 10 LLM?

O OWASP Top 10 LLM, de título oficial OWASP Top 10 for LLM Applications, é um documento de sensibilização, escrito pela comunidade, que nomeia os dez riscos de segurança mais críticos das aplicações assentes em grandes modelos de linguagem. É mantido pelo OWASP GenAI Security Project, da fundação cujo Top 10 para aplicações web orienta os testes de segurança desde 2003. Para o enquadramento geral, veja o nosso guia de segurança da IA. Há quatro edições do OWASP Top 10 LLM: a versão 1.0 (1 de agosto de 2023), a versão 1.1 (16 de outubro de 2023), a edição de 2025 (18 de novembro de 2024) e a edição de 2026 (3 de agosto de 2026). O documento atual tem 122 páginas, sob licença CC BY-SA 4.0. Cada entrada traz descrição, exemplos, estratégias de prevenção e mitigação e cenários de ataque. Pelas nossas contas, são 96 estratégias de mitigação numeradas, de 3 em Hidden Context Exposure (exposição do contexto oculto) a 19 em Sensitive Information Disclosure (divulgação de informação sensível). A carta de abertura fixa a postura: deixar de tentar construir um modelo que não possa ser enganado e construir o sistema à volta dele, para que um modelo enganado não estrague nada de importante. O ponto de controlo passa assim do fornecedor do modelo para a equipa que põe a aplicação em produção.

Um documento de sensibilização, não uma norma de controlos

Ninguém se certifica pelo OWASP Top 10 LLM: não há requisitos vinculativos, esquema de conformidade ou auditores acreditados. O valor está no vocabulário comum, que engenheiros de segurança, especialistas em testes de intrusão, fornecedores e auditores já usam. Uma constatação LLM03 lê-se da mesma maneira num relatório de red teaming de IA, num questionário a fornecedores e numa nota para a administração. O âmbito é mais estreito do que o título sugere: o OWASP Top 10 LLM cobre o modelo enquanto componente da aplicação. Quando o modelo passa a ator, com ferramentas, memória entre sessões e efeitos a jusante, o OWASP remete para o Top 10 for Agentic Applications, anunciado a 9 de dezembro de 2025.

A lista do OWASP Top 10 LLM de 2026: o que mudou de lugar

<table header-row=”true”> <tr> <td>ID 2026</td> <td>Entrada</td> <td>Posição em 2025</td> <td>O que mudou</td> </tr> <tr> <td>LLM01</td> <td>Prompt Injection</td> <td>1</td> <td>Mantém o primeiro lugar. Cobre agora ataques multimodais (imagens, áudio, vídeo) e injeções persistentes na memória ou num corpus de recuperação (RAG)</td> </tr> <tr> <td>LLM02</td> <td>Sensitive Information Disclosure</td> <td>2</td> <td>Mantém o segundo. Novas superfícies: argumentos de chamadas a ferramentas, traços de raciocínio, logs, embeddings e canais laterais temporais</td> </tr> <tr> <td>LLM03</td> <td>Excessive Agency</td> <td>6</td> <td>Sobe três. Causas inalteradas: funcionalidade, permissões e autonomia excessivas</td> </tr> <tr> <td>LLM04</td> <td>Supply Chain (cadeia de abastecimento)</td> <td>3</td> <td>Desce um. Inclui artefactos de modelo promovidos que não são o que dizem ser, adaptadores e pipelines de conversão</td> </tr> <tr> <td>LLM05</td> <td>Data and Model Poisoning</td> <td>4</td> <td>Desce um. Absorve a subversão do fine-tuning e o envenenamento pela ingestão para recuperação</td> </tr> <tr> <td>LLM06</td> <td>Unbounded Consumption (consumo sem limites)</td> <td>10</td> <td>Sobe quatro. Recentrada na assimetria de custos: modelos de raciocínio, entradas multimodais, ciclos de agentes</td> </tr> <tr> <td>LLM07</td> <td>Misinformation (informação incorreta)</td> <td>9</td> <td>Sobe dois, puxada pelo registo de incidentes</td> </tr> <tr> <td>LLM08</td> <td>Hidden Context Exposure</td> <td>7</td> <td>Antes System Prompt Leakage. Alargada ao texto de políticas recuperado, aos esquemas de ferramentas e a qualquer contexto oculto</td> </tr> <tr> <td>LLM09</td> <td>Vector and Embedding Weaknesses</td> <td>8</td> <td>Desce um. Inclui a memória de agentes assente em vetores e as caches semânticas</td> </tr> <tr> <td>LLM10</td> <td>Improper Output Handling (saídas mal tratadas)</td> <td>5</td> <td>Desce cinco, a maior queda. Acrescenta caracteres de controlo de terminal, renderizadores que carregam conteúdos sozinhos e código gerado inseguro</td> </tr> </table> Três conclusões práticas saem da tabela do OWASP Top 10 LLM de 2026. É na capacidade de ação que o dano acontece. O OWASP vê na subida de Excessive Agency o movimento com mais consequências da lista: voto e registo de incidentes coincidem. Um assistente que só responde pode induzir em erro; um que envia correio eletrónico ou emite um reembolso pode executar uma instrução manipulada. As três causas de fundo servem de lista de verificação: ferramentas de que a aplicação não precisa, permissões mais largas do que a tarefa, possibilidade de agir sem supervisão humana. Os identificadores mudaram de significado. Os nomes são quase todos conhecidos; os números não. LLM03 era Supply Chain em 2025 e é Excessive Agency em 2026; LLM06 era Excessive Agency e é agora Unbounded Consumption. Um registo de riscos, plano de testes ou questionário a fornecedores que cite só o identificador ficou ambíguo. Escreva sempre o ano (LLM03:2026) e reindexe os documentos anteriores. O contexto oculto presume-se descobrível. A LLM08 pede que se conceba o sistema como se o prompt de sistema, o texto de políticas recuperado e os esquemas de ferramentas pudessem ser extraídos: nenhuma credencial no prompt, e instruções ocultas nunca como única verificação de autorização. A pergunta de teste: se toda a janela de contexto fosse divulgada amanhã, o que ganharia um atacante?

Como foi construída a classificação de 2026: um voto confrontado com incidentes

As edições anteriores do OWASP Top 10 LLM assentavam só no juízo dos profissionais. Para 2026, a equipa do projeto reuniu 7714 incidentes de bases públicas de vulnerabilidades e de uma base de danos causados por IA, construiu classificadores e classificou 6639. Na ordem final, o voto da comunidade pesa três quartos e os dados de incidentes um quarto. As duas fontes discordaram em pontos instrutivos:

• Prompt Injection. Primeira pelo voto; pelo registo bruto de incidentes, fora dos dez primeiros lugares. O OWASP lê aqui um efeito de defesa: as equipas combatem tanto a injeção que poucas explorações limpas chegam a uma base pública. O risco continua real, como mostrou a CVE-2025-32711, falha sem interação do utilizador (zero-click) num assistente em produção.
• Misinformation. Voto baixo, registo alto: a maior diferença da lista. Ficou em sétimo.
• Sensitive Information Disclosure. O único lugar do topo em que convicção e evidência coincidem.

Para um registo de riscos, três consequências contam mais do que a ordem.

1. A posição não é a gravidade para o seu sistema. Um assistente de apoio ao cliente sem ferramentas tem pouca exposição a LLM03; um agente interno com acesso de escrita tem muita.
2. As contagens públicas de incidentes subestimam os riscos bem defendidos. A nota de investigação da Cloud Security Alliance, de 15 de agosto de 2026, di-lo sem rodeios: ausência de incidentes não prova ausência de risco.
3. Misinformation é agora uma entrada de segurança, não só uma questão de qualidade. Uma resposta errada que alimenta uma chamada a uma ferramenta torna-se uma ação errada. É por aqui que o OWASP Top 10 LLM se liga aos deveres de exatidão e ao nosso artigo sobre as alucinações como principal risco da IA generativa.

O que o OWASP Top 10 LLM não mapeia: o Regulamento da IA e a ISO/IEC 42001

O Apêndice A do OWASP Top 10 LLM de 2026 faz a correspondência com nove referenciais, cada um fixado numa versão: OWASP Top 10 for Agentic Applications, OWASP GenAI Data Security 2026, MITRE ATLAS, MITRE ATT&CK, CWE, NIST AI 600-1, NIST AI RMF, CSA AI Controls Matrix e OWASP AI Vulnerability Scoring System. Nenhum é o Regulamento da IA nem a ISO/IEC 42001. O Regulamento da IA é referido três vezes em 122 páginas, sempre a propósito de LLM02, e uma das menções ainda situa as obrigações de risco elevado em agosto de 2026, data que o Omnibus Digital, Regulamento (UE) 2026/1744, adiou para 2 de dezembro de 2027 nos sistemas do anexo III. Num documento de segurança, isto não é defeito; é uma lacuna para quem tem de mostrar a um regulador como a segurança responde a um dever legal. O artigo 15.º, n.º 5, do Regulamento da IA exige que os sistemas de IA de risco elevado sejam resilientes a tentativas de terceiros não autorizados de alterar a sua utilização, os seus resultados ou o seu desempenho, e enumera: envenenamento de dados, envenenamento de modelos, exemplos antagónicos ou evasão de modelos, ataques de confidencialidade e falhas do modelo. Todos têm lugar no OWASP Top 10 LLM. A correspondência seguinte é a nossa leitura, não um mapeamento do OWASP nem da Comissão. <table header-row=”true”> <tr> <td>Entrada</td> <td>Ponto de apoio no Regulamento da IA</td> <td>Prova que um auditor pede</td> </tr> <tr> <td>LLM01 Prompt Injection</td> <td>Art. 15.º, n.º 5, entradas antagónicas; art. 55.º, n.º 1, alínea a), testagem antagónica</td> <td>Relatório de testes por versão contra atacantes que conhecem a defesa; inventário dos canais de entrada não fiáveis</td> </tr> <tr> <td>LLM02 Sensitive Information Disclosure</td> <td>Art. 15.º, n.º 5, ataques de confidencialidade; art. 10.º; art. 32.º do RGPD</td> <td>Classificação dos dados de cada fonte de contexto; resultados dos testes de ocultação; procedimento para incidentes de divulgação</td> </tr> <tr> <td>LLM03 Excessive Agency</td> <td>Art. 14.º, supervisão humana; art. 26.º, deveres do responsável pela implantação</td> <td>Registo de ferramentas e permissões por aplicação; regra de aprovação para ações de grande impacto; logs das chamadas a ferramentas</td> </tr> <tr> <td>LLM04 Supply Chain</td> <td>Art. 25.º, cadeia de valor; art. 15.º, n.º 5, componentes pré-treinados</td> <td>Proveniência de modelos e conjuntos de dados; inventário de componentes assinados; avaliações de fornecedores</td> </tr> <tr> <td>LLM05 Data and Model Poisoning</td> <td>Art. 10.º, governação de dados; art. 15.º, n.º 5, envenenamento de dados e de modelos</td> <td>Linhagem dos conjuntos de dados; validação do fine-tuning e da ingestão para recuperação; aprovação do retreino</td> </tr> <tr> <td>LLM06 Unbounded Consumption</td> <td>Art. 15.º, n.º 4, resiliência a erros e falhas</td> <td>Tetos de despesa; limites de pedidos; resultados dos testes aos disjuntores (circuit breakers); alertas de custo</td> </tr> <tr> <td>LLM07 Misinformation</td> <td>Art. 15.º, n.º 1 e n.º 3, exatidão declarada; art. 14.º, n.º 4, alínea b), enviesamento da automatização</td> <td>Métricas de exatidão e de fundamentação nas fontes; resultados de avaliação; orientações sobre confiança excessiva</td> </tr> <tr> <td>LLM08 Hidden Context Exposure</td> <td>Art. 15.º, n.º 5, ataques de confidencialidade</td> <td>Pesquisa de segredos em prompts e esquemas de ferramentas; prova de que a autorização é aplicada fora do modelo</td> </tr> <tr> <td>LLM09 Vector and Embedding Weaknesses</td> <td>Art. 10.º; art. 15.º, n.º 5; art. 32.º do RGPD</td> <td>Testes de isolamento entre clientes na recuperação; registo de proveniência da ingestão; procedimento de eliminação de embeddings</td> </tr> <tr> <td>LLM10 Improper Output Handling</td> <td>Art. 15.º, n.º 5, falhas do modelo; anexo I do Regulamento de Ciber-Resiliência</td> <td>Testes de codificação das saídas; inventário dos destinos a jusante; registos de desenvolvimento seguro</td> </tr> </table> Na ISO/IEC 42001, os mesmos artefactos entram pelas áreas de controlo do anexo A: ciclo de vida do sistema de IA (verificação e validação, operação e monitorização, registos de eventos), dados para sistemas de IA (qualidade e proveniência), relações com terceiros e clientes, utilização de sistemas de IA. Um auditor de certificação não pergunta se a organização está «em conformidade com o OWASP Top 10 LLM»: pergunta como identificou os riscos de segurança da IA e o que decidiu para cada um. Um registo de decisão por entrada responde a isso.

Que lei torna esta prova exigível

O OWASP Top 10 LLM é voluntário. O que descreve deixa de o ser quando um destes regimes se aplica.

• Regulamento da IA, artigo 15.º. Vincula os sistemas de IA de risco elevado: anexo III a partir de 2 de dezembro de 2027, produtos do anexo I a partir de 2 de agosto de 2028 (datas do Omnibus Digital).
• Regulamento da IA, artigo 55.º. Os prestadores de modelos de IA de finalidade geral com risco sistémico têm de realizar e documentar testagem antagónica e de assegurar proteção de cibersegurança adequada do modelo e da infraestrutura física (artigo 55.º). Aplica-se desde 2 de agosto de 2025; os poderes de execução da Comissão, desde 2 de agosto de 2026.
• Regulamento de Ciber-Resiliência. O Regulamento (UE) 2024/2847 cobre os produtos com elementos digitais, ou seja, a maior parte do software comercial que incorpora um modelo de linguagem. Desde 11 de setembro de 2026, os fabricantes comunicam vulnerabilidades ativamente exploradas e incidentes graves, pela plataforma única de comunicação, ao CSIRT coordenador e à ENISA: alerta precoce em 24 horas, notificação em 72 (síntese da Jones Day). Os requisitos essenciais aplicam-se por inteiro a partir de 11 de dezembro de 2027. Pelo artigo 12.º, um sistema de IA de risco elevado que os cumpra considera-se conforme com o requisito de cibersegurança do artigo 15.º do Regulamento da IA.
• RGPD, artigo 32.º. A segurança do tratamento aplica-se a qualquer aplicação que toque em dados pessoais. LLM02 e LLM09 descrevem violações de dados pessoais antes de acontecerem.
• NIS2 e DORA. As entidades essenciais e importantes e as entidades financeiras já estão sujeitas a gestão de risco e comunicação de incidentes nos seus sistemas de TIC; o DORA é aplicável desde 17 de janeiro de 2025.

Duas datas distam nove dias: 2 de dezembro de 2027 (risco elevado, anexo III) e 11 de dezembro de 2027 (aplicação plena do Regulamento de Ciber-Resiliência). Um único dossiê de segurança, estruturado por entrada do OWASP Top 10 LLM e com referências cruzadas para os dois regulamentos, prepara ambas. A norma harmonizada sobre cibersegurança da IA ainda estava em preparação no CEN-CENELEC em meados de 2026; uma taxonomia pública reconhecida é, por agora, a estrutura mais defensável. Em Portugal, o CNCS (Centro Nacional de Cibersegurança) é a autoridade nacional de cibersegurança, e a ANACOM, designada em setembro de 2025, é a autoridade de fiscalização do mercado e o ponto de contacto único para o Regulamento da IA.

Do OWASP Top 10 LLM à prova: um método em seis passos

1. Inventariar todas as aplicações com modelos de linguagem. Para cada uma: modelo, fontes de contexto, ferramentas, repositórios de memória e destinos a jusante. Sem inventário de sistemas de IA, ninguém sabe que entradas estão em causa; o AI Registry da AI Sigil guarda essa ficha por sistema.
2. Decidir a aplicabilidade entrada a entrada. Escrever «aplica-se» ou «não se aplica», com a razão. O próprio OWASP nota que um sistema de recuperação sem vetores não tem superfície LLM09. Uma exclusão registada é prova; o silêncio é uma lacuna.
3. Escolher mitigações e nomear um responsável. Partir das 96 estratégias do OWASP Top 10 LLM, ligar cada uma a um controlo existente e indicar o artefacto que o demonstra.
4. Testar antes do lançamento e depois de cada alteração. Nova versão do modelo, novo prompt de sistema, nova ferramenta ou novo corpus de recuperação reabrem LLM01, LLM03 e LLM08. O OWASP pede testes contra atacantes adaptativos, que leram a defesa em produção: é o terreno do red teaming de IA.
5. Pôr a cadeia de abastecimento no contrato. LLM04 e LLM05 não se fecham só com testes. Proveniência, assinatura, aviso de vulnerabilidades e notificação de alterações pertencem à due diligence de fornecedores de IA e ao contrato.
6. Fixar de antemão limiares e prazos de incidente. Definir o que é incidente grave no artigo 73.º do Regulamento da IA, vulnerabilidade ativamente explorada no Regulamento de Ciber-Resiliência e violação de dados pessoais no RGPD, e quem trata da comunicação do incidente em 24 ou 72 horas.

Cada passo deixa um registo. Juntos formam uma declaração de aplicabilidade para o risco dos modelos de linguagem: dez entradas, uma decisão, um controlo, um responsável e um resultado de teste. É esse dossiê que faz do OWASP Top 10 LLM prova de auditoria, e não um cartaz na parede.

LLM Top 10 ou Agentic Top 10: que lista se aplica

O OWASP traça a linha pelo papel do modelo. Componente que devolve texto ao código: aplica-se o OWASP Top 10 LLM. Ator que invoca ferramentas, guarda memória e desencadeia efeitos a jusante: aplica-se também o OWASP Top 10 for Agentic Applications. O Apêndice A liga cada entrada LLM às equivalentes agênticas; Excessive Agency aparece como ASI02 Tool Misuse and Exploitation, ASI03 Identity and Privilege Abuse e ASI08 Cascading Failures. A maioria das implementações empresariais vive na fronteira: um assistente ganha um conector, depois outro, depois acesso de escrita, e ninguém revê o âmbito da análise de risco. Duas verificações ajudam.

• Registar três atributos por aplicação (ferramentas, memória persistente, capacidade de agir sem aprovação) e aplicar as duas listas quando um deles muda.
• Usar a «lethal trifecta» (tríade letal) que o OWASP cita de Simon Willison: acesso a dados privados, conteúdo não fiável e comunicação com o exterior reúnem as condições de uma exploração de grande impacto. Basta retirar um dos três.

A aprovação humana é o controlo a que o OWASP mais regressa e aquele em que menos confia quando o volume sobe: a fadiga de aprovação degrada o juízo de quem revê. É um problema de conceção da supervisão humana, não uma caixa para assinalar. Sobre a governação dos agentes, veja os guias de agentes de IA autónomos e de IA agêntica versus IA generativa, bem como o documento conjunto da ANSSI francesa e do BSI alemão sobre princípios de conceção Zero Trust para sistemas baseados em LLM.

Perguntas frequentes

O que é o OWASP Top 10 LLM, em termos simples? O OWASP Top 10 LLM é uma lista ordenada dos dez riscos de segurança mais críticos das aplicações assentes em grandes modelos de linguagem, redigida pelo OWASP GenAI Security Project. Cada entrada explica a falha, dá exemplos e propõe defesas. É gratuito, sob licença CC BY-SA 4.0. Serve às equipas de segurança para delimitar testes, aos fornecedores para descrever o que cobrem e aos auditores como vocabulário de referência. O que mudou no OWASP Top 10 LLM em 2026? Oito das dez entradas mudaram de posição. Excessive Agency subiu do sexto para o terceiro lugar, Unbounded Consumption do décimo para o sexto e Misinformation do nono para o sétimo. Improper Output Handling caiu do quinto para o décimo. System Prompt Leakage passou a chamar-se Hidden Context Exposure. O método também mudou: o voto dos profissionais pesou 75% e um registo de 7714 incidentes pesou 25%. O OWASP Top 10 LLM é obrigatório? Não. É um documento de sensibilização voluntário, sem certificação. Os riscos que nomeia estão, porém, cobertos por regras vinculativas: o artigo 15.º do Regulamento da IA (sistemas de risco elevado), o artigo 55.º (modelos de finalidade geral com risco sistémico), o Regulamento de Ciber-Resiliência (produtos com elementos digitais) e o artigo 32.º do RGPD (dados pessoais). Usar o OWASP Top 10 LLM para estruturar a prova é uma escolha. Ter a prova não é. Qual é a relação entre o OWASP Top 10 LLM e o Regulamento da IA? O OWASP Top 10 LLM não traz correspondência com o Regulamento da IA. O ponto de apoio mais próximo é o artigo 15.º, n.º 5: envenenamento de dados, envenenamento de modelos, exemplos antagónicos, ataques de confidencialidade e falhas do modelo correspondem, por esta ordem, a LLM05, LLM04, LLM01, LLM02 (com LLM08 e LLM09) e LLM10. Excessive Agency liga-se à supervisão humana do artigo 14.º, e Misinformation aos níveis de exatidão que o artigo 15.º obriga os prestadores a declarar. A injeção de prompts continua a ser o risco número um? Sim. Na edição de 2026 do OWASP Top 10 LLM mantém o primeiro lugar pelo voto dos profissionais. Pelos dados públicos de incidentes, sairia dos dez primeiros, o que o OWASP atribui às equipas maduras, que contêm as tentativas antes de serem comunicáveis. O NCSC britânico explica porquê em a injeção de prompts não é uma injeção de SQL: os modelos não separam instruções de dados, e a superfície não se fecha, apenas se contém. Qual é a diferença entre o LLM Top 10 e o Agentic Top 10? O OWASP Top 10 LLM cobre o modelo enquanto componente de uma aplicação. A lista agêntica, anunciada a 9 de dezembro de 2025, cobre o modelo enquanto ator autónomo, com ferramentas, memória e efeitos a jusante. Foram pensadas para uso conjunto, e o Apêndice A indica, entrada a entrada, as equivalentes agênticas. Se a aplicação invoca ferramentas ou age sem que uma pessoa aprove cada passo, leia as duas.

Conclusão

O OWASP Top 10 LLM é o vocabulário mais partilhado para a segurança dos modelos de linguagem, e a edição de 2026 tornou-o mais honesto ao confrontar a convicção com um registo de incidentes. Continua a ser um documento de segurança: não diz que lei se aplica, nem quando, nem o que um regulador pede para ver. Essa parte é sua: inventário, decisão por entrada, controlo e responsável com nome, resultado de teste depois de cada alteração, prazos de incidente acordados de antemão. A comunicação do Regulamento de Ciber-Resiliência já está em vigor, e dezembro de 2027 traz as obrigações de risco elevado e os requisitos de produto por inteiro. A AI Sigil liga cada aplicação com modelos de linguagem do registo às entradas aplicáveis, aos controlos escolhidos, aos resultados de teste e às decisões de incidente, para que a resposta a um auditor seja um relatório, não uma reconstituição.