Die Rangfolge 2026 im Vergleich zu 2025, nach der Auswertung von ReversingLabs: Prompt Injection (unverändert 1), Sensitive Information Disclosure (unverändert 2), Excessive Agency (von 6 auf 3), Supply Chain Vulnerabilities (von 3 auf 4), Model Data Poisoning (von 4 auf 5), Misinformation (aus dem unteren Feld auf 6), Unbounded Consumption (aus dem unteren Feld auf 7), Hidden Context Exposure (von 7 auf 8, umbenannt aus „System Prompt Leakage“), Vector and Embedding Weaknesses (unverändert 8 auf 9) und Improper Output Handling (von 5 auf 10). Der größte Absturz ist damit die unsaubere Ausgabeverarbeitung, der größte Aufstieg neben Excessive Agency die unbegrenzte Ressourcennutzung.
Die Methode ist der eigentliche Neuerung dieser Ausgabe. Bisher entschied die Abstimmung der Fachgemeinschaft allein; 2026 trägt sie 75 Prozent, ein Viertel steuern Vorfallsdaten bei. ReversingLabs beziffert den Bestand auf „7,714 incidents from public vulnerability databases and an AI-harm database“, davon „6,639 that carried enough detail to sort“. Die Gewichtung ist bewusst asymmetrisch: Sie soll verhindern, dass „a single noisy year of incident data“ das kollektive Urteil überstimmt, aber zulassen, dass Belege einen Eintrag um eine Stufe verschieben, wenn Wahrnehmung und Datenlage weit auseinanderliegen.
Genau dort wird es interessant, denn die beiden Messgrößen widersprechen sich an zwei Stellen deutlich. Prompt Injection ist die mit Abstand größte Sorge der Praktiker, taucht in den Vorfallszahlen aber kaum auf – nach der Lesart des Projekts, weil so viel Abwehr dagegen gebaut wurde, dass die Fälle die Datenbanken gar nicht erst erreichen; die Arbeit nennt das „defensive bias“. Umgekehrt bei Falschinformation: Die Praktiker stufen sie niedrig ein, die Vorfallszahlen sprechen dagegen. Die naheliegende Erklärung ist eine Gewöhnung – wer bei generativer KI ohnehin mit einem Anteil falscher Ausgaben rechnet, übersieht eher, wenn dieser Anteil vergiftet wird. In agentischen Systemen ist das keine kosmetische Frage: Eine Falschinformation, auf die ein Agent hin handelt, ist kein Textfehler mehr, sondern eine Fehlhandlung.
Warum sich Platz eins nicht bewegt, begründet die Rezeption architektonisch statt mit mangelnder Mühe: „instructions and data share one channel, the context window, and no equivalent of the parameterized query exists“ – in der Datenbankwelt trennt die parametrisierte Abfrage Befehl und Nutzdaten sauber, im Kontextfenster gibt es diese Trennung nicht. Deshalb sei kein vollständiger technischer Schutz in Sicht, und die Fachgemeinschaft behandle Prompt Injection inzwischen als unvermeidlich.
Die Konsequenz zieht die Projektleitung selbst, und sie ist die eigentliche Nachricht dieser Ausgabe: „Stop trying to build a model that cannot be fooled. Build the system around it, so that when the model is fooled, and it will be, nothing important breaks.“ Das ist die Übertragung eines alten Sicherheitsgrundsatzes auf KI-Systeme – nicht Unverwundbarkeit anstreben, sondern Schadensradius begrenzen. Praktisch heißt das: Rechte nach dem Prinzip der geringsten Berechtigung, Segmentierung, harte Grenzen außerhalb der Entscheidungsgewalt des Modells, Nachvollziehbarkeit dessen, was ein Agent tatsächlich getan hat.
Die Praktiker-Lesart dazu liefert das IBM-Panel „Security Intelligence“, das wir als Auslöser dieser Depesche ausgewertet haben (Tier C, IBM-Framing). Zwei Punkte daraus sind unabhängig von der Anbieter-Perspektive brauchbar. Erstens die Warnung, die Liste nicht als Prüfliste zu lesen: Sinnvoller sei ein Planspiel – wenn einer dieser Angriffe morgen stattfände, würden wir ihn bemerken, eindämmen und hinterher rekonstruieren können, was die KI eigentlich getan hat? Zweitens die Einordnung von Agenten als Identitäten: Ein Agent sei „essentially the same as any kind of privileged account“, weil er per Konstruktion Zugriff und Handlungsfähigkeit braucht, um nützlich zu sein. Die dort genannte Verschiebung der Leitfrage trifft den Kern des Platz-drei-Aufstiegs: nicht mehr „kann ich manipulieren, was die KI sagt“, sondern „kann ich manipulieren, was die KI tut“.
Aus derselben Runde stammt ein Befund von der Black-Hat-Konferenz 2026, den wir ausdrücklich als unbelegt kennzeichnen: Eine Forschungsgruppe soll gezeigt haben, wie eine präparierte Kalendereinladung einen bereits angemeldeten Browser-Agenten übernimmt – bis hin zu Diebstahl von Zugangsdaten, Datenabfluss, dauerhaftem Zugang und Codeausführung auf dem Rechner des Nutzers. Das dort geprägte Wort „intent collusion“ beschreibt eine Verschärfung der klassischen Prompt Injection: Der Angreifer überredet den Agenten nicht, etwas anderes zu tun, sondern davon, dass sein Ziel der beste Weg zum Ziel des Nutzers sei. Die Sicherheits-Pointe der Gruppe passt exakt zur OWASP-Botschaft – gewirkt hätten die Kontrollen, bei denen die KI keine Stimme hatte. ⚠️ Wir haben weder Briefing noch Veröffentlichung dazu gefunden; Forschungsgruppe und Ergebnisse sind allein über das Video belegt und hier nur als Hinweis geführt.
⚠️ Zur Beleglage: Die Existenz der Ausgabe 2026, die Trägerschaft (OWASP GenAI Security Project), die Selbstbeschreibung „developed by hundreds of AI security experts“ und die Grundlage „new research grounded in thousands of real-world AI security incidents“ stammen von der OWASP-Ressourcenseite (Tier A, von uns geöffnet). Die vollständige Rangfolge steht dort nicht im Fließtext, sondern im herunterladbaren Dokument – wir übernehmen sie aus zwei unabhängig geöffneten Rezeptionen (ReversingLabs, Help Net Security), die einander in Reihenfolge, Bewegungen und Methodik decken. Die Zahlen 7.714 und 6.639 nennt nur ReversingLabs, Help Net Security führt 6.639. Beim Datum weichen die Quellen ab: Die OWASP-Ressourcenseite datiert auf den 3. August 2026, Help Net Security berichtet am 6. August 2026 vom Erscheinen; wir nennen beide und legen uns nicht fest. Die exakten LLM-Nummern (LLM01:2026 …) haben wir nicht geprüft und führen sie deshalb nicht. Sämtliche Aussagen aus dem IBM-Panel sind als Tier C gekennzeichnet, die dortigen Kennzahlen zu Verbreitungsgraden von Kontrollen und zu Vorfallsquoten haben wir bewusst nicht übernommen, weil sie im Video ohne Quellenangabe fallen und teils aus IBMs eigenem Bericht stammen.