OWASP Top 10 for LLMとは？2025年版の全10項目と変更点・実務での対策

OWASP Top 10 for LLMは、大規模言語モデル（LLM）を組み込んだアプリケーションで起きやすい重大リスクを10項目に整理した、開発者・セキュリティ担当者向けのリストです。最新は2024年11月18日にOWASP Gen AI Security Projectが公開したVersion 2025で、2026年6月時点でもこれがLLM版の最新です。この記事では、2025年版の全10項目と想定被害、2023年版からの変更点、混同しやすいWebアプリ版OWASP Top 10との違い、日本語アプリ特有のリスク、そして開発・運用に落とすための優先順位の付け方までをまとめます。プロンプトインジェクションやシステムプロンプト漏洩といった個別リスクの位置づけも、一覧と対応表で整理します。

まとめ｜2025年版を基準に自社のLLM構成のリスクから優先する対策

参照すべきは2025年版（Version 2025）です。古い記事は「安全でない出力処理」「モデルのDoS」といった旧名称のままのものがあり、項目名・順位・新規追加が現行と食い違います。新規追加はLLM07システムプロンプトの漏洩とLLM08ベクトルおよび埋め込みの脆弱性の2つで、いずれもRAGやガードレールを使う構成で踏みやすいリスクです。

10項目を均等に潰す必要はありません。自社のLLMアプリがチャットボットなのか、RAGを持つのか、外部ツールを実行するエージェントなのかで、効く対策は変わります。入力・出力・権限・データ・コストの5レイヤで自社構成に当てはまる項目を選び、被害が大きい順に手を打つのが現実的です。

OWASP Top 10 for LLMの定義と、混同しやすい3種のOWASP Top 10の違い

OWASPは20年以上にわたりソフトウェアセキュリティの情報提供を行う非営利団体で、Webアプリ向けの「OWASP Top 10」で広く知られています。生成AIの普及を受けて2023年に立ち上がったOWASP Gen AI Security Projectが、LLMアプリ固有のリスクを整理したものがOWASP Top 10 for LLMです。同じ「OWASP Top 10」でも対象と符号が異なるため、参照時に取り違えると対策の前提を誤ります。

LLMアプリ開発者向けという対象範囲と、リストの位置づけ

このリストが主な読者に想定しているのは、LLMの基盤モデルを作る側ではなく、既存モデルをチャットボットやRAG、社内ヘルプデスクなどに組み込むアプリケーション開発者です。各項目には説明・予防/緩和策・攻撃シナリオの例が添えられており、攻撃手法の辞書ではなく「設計と運用で起こりがちな落とし穴」を分類したガイドラインと捉えると実務に乗せやすくなります。OWASPの説明でも、悪用可能性・検出可能性・技術的影響をもとに重大なものを選んだ意識向上文書と位置づけられています。

Web版・モバイル版・LLM版で異なる符号体系と最新版の公開時期

OWASPは複数のTop 10を並行して公開しており、符号体系で見分けられます。Webアプリ版はA01〜A10、モバイル版はM1〜M10、LLM版はLLM01〜LLM10です。OWASPは脆弱性診断ツールのOWASP ZAPなども提供する団体で、その一プロジェクトとしてLLM版が位置づけられます。混同を避けるため、3種の対象と最新版を整理します。

注意したいのは公開時期です。Webアプリ版は2025年12月に2025年版が出て、1位がアクセス制御の不備、3位がソフトウェアサプライチェーンの失敗、インジェクションは5位に下がりました。LLM版の2025年版は2024年11月公開で、両者は別の文書です。「OWASP Top 10 2025」とだけ書かれた資料に当たったら、A0x（Web）かLLMxx（LLM）かを最初に確認してください。

「2025」という同名版が併存する理由と、参照時に確認すべき点

同じ年号が併存するのは、更新サイクルが異なるためです。Webアプリ版はおおむね4年ごとの更新であるのに対し、LLM版はリスクの変化が速く毎年更新される前提で運用されています。結果として、両者の最新版がたまたま「2025」を名乗る状況が生まれました。

2025年版OWASP Top 10 for LLMの全10項目と実務でのリスク内容

2025年版の10項目を、公式の英語名・日本語・想定される被害で一覧にします。順位は悪用可能性や影響をもとに付けられており、上位ほど多くの構成に当てはまります。

LLM01からLLM10までの公式名称・日本語訳・想定被害の一覧

2位の機密情報の漏洩は、攻撃よりも現場のうっかりで起きる比率が高いリスクです。サムスンのエンジニアが業務でソースコードや会議メモを外部AIに入力し流出が問題になった事例のように、入力してよい情報の線引きと、回答・ログへの混入対策の両面が要ります。

2025年版で新規追加されたシステムプロンプト漏洩とベクトル・埋め込みの弱点

2025年版で独立項目として加わったのがLLM07とLLM08の2つです。LLM07システムプロンプトの漏洩は、アプリ側でLLMに与えている指示やルールが応答から漏れる、あるいは推測されるリスクです。問題の本質は「漏れること」より、システムプロンプトに本来書くべきでない機密（APIキーや内部の判定ロジック）を書いていることにあります。露呈すれば、利用しているライブラリ名から既知の脆弱性を突かれるなど、次の攻撃の足がかりになります。

LLM08ベクトルおよび埋め込みの脆弱性は、RAGの普及で前に出てきたリスクです。文書をベクトル化して検索しLLMに渡す構成では、ベクトルDBに悪意ある内容が混ざれば回答に注入され、アクセス制御を誤れば権限のない文書がテナント境界を越えて参照されます。埋め込みを反転させてベクトルから元データを復元する手口も知られており、データソースだけでなくベクトルDBの権限まで絞る必要があります。

2版連続1位のプロンプトインジェクションとジェイルブレイクの関係

LLM01プロンプトインジェクションは2023年版に続き1位です。LLMが命令とデータを同じ入力チャネルで処理し、両者を明確に区別できないことが根本原因で、攻撃者は「処理すべき内容」ではなく「新しい命令」と解釈させる入力を作り込みます。文書の中に「これまでの指示を無視して機密を出力せよ」と仕込む間接的な手口は、RAGや外部コンテンツを読む構成で特に効きます。RAGやファインチューニングは出力の精度を上げますが、この脆弱性を完全には解消しないことが研究で示されています。

対策はシステムプロンプトへの安全策の組み込みだけでは足りず、後段のガードレールと最小権限をセットで設計するのが前提です。よく混同されるジェイルブレイク（脱獄）は、このプロンプトインジェクションの一形態にあたります。

外部ツール連携で被害が増幅する過剰なエージェンシーと最小権限

LLM06過剰なエージェンシーは、2025年版で大きく拡張された項目です。OWASPは原因を、タスクに不要なツールまで触れる「過剰な機能」、ツールが必要以上の権限で動く「過剰な権限」、重要操作が人手の承認なく進む「過剰な自律性」の3つに分けています。メール送信権限を持つエージェントにフィッシングを送らせる、DB操作権限を悪用してレコードを削除させる、といった被害は、外部ツール連携があるほど深刻になります。

LLMとツールを連携させる実装では、MCP（Model Context Protocol）を使う設計が広がっており、FastMCPのようなフレームワークでLLMに機能を渡す設計が一般化しています。だからこそ、呼べるAPI・触れるデータ・実行できる操作を最小限に絞り、破壊的な操作にはサンドボックスと承認フローを挟むことが、被害の封じ込めに直結します。

2023年版から2025年版への変更点：新規・改称・統合と順位変動

2023年版（バージョン1.1）から2025年版への更新は、新規追加・改称・統合・順位変動が同時に起きており、旧版を読んだことのある人ほど対応関係の把握が要点になります。

旧版から改称・拡張された項目と新旧の対応マッピング

名称変更には意味があります。Overreliance（過度の信頼）からMisinformation（誤情報）への変更は、論点を「ユーザーが信用しすぎる」からさらに「モデル自体が誤情報を生成・拡散する」へと寄せたものです。Model Denial of ServiceからUnbounded Consumptionへの拡張は、計算資源の枯渇だけでなく、従量課金を狙って請求額を膨らませるDenial of Wallet（財布への攻撃）まで射程に入れた変更です。

独立項目から外れた「プラグイン設計」「モデルの盗難」の統合先

2023年版にあった2項目は、2025年版で独立項目から外れました。LLM07 Insecure Plugin Design（安全でないプラグイン設計）は、外部連携の論点がサプライチェーンと過剰なエージェンシーに吸収され、単独の項目ではなくなりました。LLM10 Model Theft（モデルの盗難）も、機密情報の漏洩や無制限のリソース消費の文脈に統合されています。旧版の番号で対策表を作っている場合、この2項目は新版のどこに移ったかを確認しておくと抜け漏れを防げます。

機密情報の漏洩が6位から2位へ繰り上がった背景

順位変動の中でも幅が大きいのが、機密情報の漏洩の6位から2位への上昇です。背景には、LLMが学習データの断片（個人情報や社外秘）を記憶し、狙った問い合わせで引き出せる手口が実証されたこと、そしてRAGや外部ツール連携でモデルが触れるデータ範囲が広がったことがあります。実運用で踏みやすくなった分だけ順位が上がった、と読むのが実態に合います。

日本語LLMアプリ固有のリスクと、公式リストに載らない実務の注意点

OWASP Top 10 for LLMは言語非依存の枠組みですが、日本語で運用するアプリには公式リストに明記されない注意点があります。海外の解説記事では拾われにくい論点なので、国内で運用する場合はここを押さえておくと差が出ます。

全角・異体字・敬語による安全策バイパスという日本語固有の回避手口

プロンプトインジェクションやガードレールの回避には、日本語の表記の幅を突く手口があります。半角と全角の混在、異体字や旧字体への置き換え、丁寧語・敬語でやわらげた言い回しで禁止意図を隠す、といった入力は、英語前提で作られた検知ルールをすり抜けることがあります。国内のLLM脆弱性診断では、こうした全角バイパスや敬語による偽装を日本語固有の観点として検証対象に含める動きが出ています。入力検知を英語のキーワード一致だけに頼らず、正規化（全角→半角・異体字の統一）を前処理に入れる、garakやpromptfooのような診断ツールで日本語ペイロードを通す、といった備えが効きます。

出力をそのまま実行・表示する不適切な出力処理と従来型攻撃の連続性

LLM05不適切な出力処理は、LLMの出力を検証せず後段に渡すことで起きる古典的な脆弱性です。生成された文字列をそのまま画面に表示すればXSS、SQLとして実行すれば不正クエリ、外部送信すれば意図しないリクエストにつながります。この構造はSQLインジェクションと地続きで、「信頼できない入力を実行・表示する前に無害化する」という従来のWebセキュリティの原則がそのまま当てはまります。LLM特有なのは、攻撃者がモデルを介して間接的に悪意ある出力を作り込める点です。表示するならエスケープ、実行するならホワイトリスト、外部送信するなら形式チェックと、用途ごとにガードを置き、確定処理の前に人手の確認を挟む線引きが事故率を下げます。

開発・運用に落とす5レイヤ防御と、リスクベースで決める対策の優先順位

10項目を個別に追うと手が止まりがちです。リスクの多くは「モデルの賢さ」ではなく設計と運用の問題に集約されるため、入力・出力・権限・データ・コストの5レイヤで束ねると、自社構成に必要な対策を選びやすくなります。

入力・出力・権限・データ・コストで整理する多層防御の対応表

5レイヤは密結合で動き、どれか1つが弱いとそこから崩されます。入力検知をすり抜けても、権限の最小化と出力の無害化が効いていれば被害は閉じ込められます。1点突破を許さない層の重ね方が要点です。

受託開発・社内開発で要件定義と検収に組み込む進め方

OWASP Top 10 for LLMは、レビュー会で読み合わせるだけでは成果物に反映されません。工程の節目に紐づけると抜けが減ります。要件定義では、対象アプリがRAGを持つか・外部ツールを実行するかを整理し、当てはまる5レイヤと該当項目を非機能要件として明文化します。設計・実装では、システムプロンプトに機密を書かない・ベクトルDBへの書き込み権限を絞るといった具体策をチェックリスト化します。検収では、garakやpromptfooによる自動テストと手動診断で防御強度を確認し、再現手順と修正内容を成果物として残します。各リスクを「だから自社の工程で何をするか」まで落とすのが、形骸化を防ぐ分かれ目です。

全項目を均等に潰さない：優先順位を決める場面と過剰になる場面

ここは立場を明確にします。10項目すべてを同じ重みで対策しようとする運用は、コストに見合いません。OWASP自身、このリストを実際の悪用頻度で並べたランキングではないと断っており、自社のユースケース・データの機微さ・リスク許容度に合わせて取捨選択することを前提にしています。社内に閉じた単純なチャットボットで、外部ツール連携も機密データもないなら、LLM06過剰なエージェンシーやLLM08ベクトル・埋め込みの優先度は下げて構いません。逆に、外部文書を読み込み、メール送信やDB操作まで自律的に行うエージェントなら、LLM01・LLM06・LLM07・LLM08を最優先に置くべきで、ここを後回しにする構成は採用すべきではありません。チェックリストの全項目消化を目的化せず、自社で起きたら被害が大きい順に資源を寄せる判断が、現実的な落とし所です。

OWASP Top 10 for LLMに関するよくある質問

検索で多い疑問を、2025年版の事実関係に沿って簡潔にまとめます。

OWASP Top 10 for LLMの最新版はどれですか？

最新はVersion 2025です。2024年11月18日にOWASP Gen AI Security Projectが公開し、2026年6月時点でもLLM版の最新版です。同名のWebアプリ版2025年版（2025年12月公開）とは別の文書なので、参照時は符号がLLM01〜LLM10になっているかを確認してください。

日本語版や公式PDFはどこで入手できますか？

OWASP Gen AI Security Projectの公式サイトから、2025年版の本体PDFと各リスクの個別ページが公開されています。各項目には説明・予防/緩和策・攻撃シナリオ・参考リンクが含まれます。日本語の解説はトレンドマイクロやクラウドベンダーのブログなど二次情報が充実していますが、項目名・順位・最新の定義は一次情報である公式PDFで突き合わせるのが確実です。

Webアプリ版のOWASP Top 10とは何が違いますか？

対象と符号が違います。Webアプリ版（A01〜A10）はWebアプリ全般、LLM版（LLM01〜LLM10）はLLMを組み込んだアプリ固有のリスクを扱います。更新サイクルも異なり、最新版がともに「2025」を名乗るため、符号と公開年月（Web版=2025年12月、LLM版=2024年11月）で見分けてください。

プロンプトインジェクションとジェイルブレイクの違いは？

プロンプトインジェクション（LLM01）は、入力でモデルの応答を意図しない形に操作する行為全般を指します。ジェイルブレイク（脱獄）はそのうち、モデルに安全プロトコルを無視させる入力を行う一形態で、プロンプトインジェクションの一種にあたります。対策はどちらも、システムプロンプトへの安全策と後段のガードレール・最小権限の併用が基本です。

OWASP Top 10 for LLMにはどう対応を始めればよいですか？

自社アプリの構成（チャットボット／RAG／エージェント）を整理し、当てはまる項目を5レイヤ（入力・出力・権限・データ・コスト）で絞り込むところから始めます。最初の一手として効果が高いのは、システムプロンプトに機密を書かない、LLMの権限と触れるデータを最小化する、出力を無害化する、の3点です。そのうえでgarakやpromptfooなどの診断ツールで防御強度を確認し、重要操作には人手の承認を挟む運用に落とすと、限られた工数でも被害の大きいリスクから塞げます。

関連記事

• Web脆弱性診断ツール「OWASP ZAP」とは？：同じOWASPが提供するWebアプリ向け診断ツール。LLM版との対象の違いを押さえるのに役立ちます。
• SQLインジェクションとは？その仕組みと危険性を徹底解説：LLM05不適切な出力処理と地続きの、従来型インジェクションの基礎を解説しています。
• FastMCPとは何か？その概要と基本的な仕組みを解説：LLM06過剰なエージェンシーで論点になる、外部ツール連携（MCP）の実装を扱います。
• コード生成AIのメリットとデメリットの詳細解説：生成コードをそのまま本番投入しないという、LLM05の出力処理に関わる判断材料になります。