sclintonowasp · Sep 30, 2026 · Sep 30, 2026
@@ -1,32 +1,32 @@
-<!-- status: draft -->
+<!-- status: reviewed -->
 # Письмо руководителей Agentic Top 10
 
-Агентные системы ИИ стремительно переходят от пилотных проектов к промышленной эксплуатации в финансовой сфере, здравоохранении, оборонной отрасли, критической инфраструктуре и государственном секторе. В отличие от узкоспециализированных автоматизаций, агенты планируют, принимают решения и действуют в несколько этапов и в нескольких системах, зачастую от имени пользователей и команд. Agentic Security Initiative уже приступила к разработке защитных мер для агентных приложений, публикуя набор рекомендаций, охватывающих весь жизненный цикл.
+Агентные ИИ системы стремительно переходят от пилотных проектов к промышленной эксплуатации в финансовой сфере, здравоохранении, оборонной отрасли, критической инфраструктуре и государственном секторе. В отличие от узкоспециализированных автоматизаций, агенты планируют, принимают решения и действуют в несколько этапов и в нескольких системах, зачастую от имени пользователей и команд. Agentic Security Initiative уже приступила к разработке защитных мер для агентных приложений, публикуя набор рекомендаций, охватывающих весь жизненный цикл.
 
 Наша базовая таксономия (Agentic AI — Threats and Mitigations) даёт исходное определение агентов, их взаимосвязь с приложениями на основе LLM, роль автономности, а также подробный разбор угроз и мер противодействия. Дополнительные документы охватывают моделирование угроз (Agentic Threat Modelling Guide), защиту архитектуры, проектирования, разработки и развёртывания агентных приложений (Securing Agentic Applications), а также вопросы управления (State of Agentic AI Security and Governance).
 
-Эти публикации представляют собой всеобъемлющий набор рекомендаций, предназначенный как справочный материал и глубокое освещение темы. Тем не менее их объём может затруднять применение на практике разработчиками, специалистами по защите и лицами, принимающими решения, в их повседневной работе.
+Эти публикации представляют собой всеобъемлющий набор рекомендаций, предназначенный как справочный материал и обеспечивающий глубокое и всестороннее рассмотрение вопросов. Тем не менее их охват может затруднять их практическое применение разработчиками, специалистами по защите и лицами, принимающими решения, в повседневной работе.
 
 Наш OWASP Top 10 for Agentic Applications (или OWASP Agentic Top 10) служит компасом и основным справочным материалом для руководителей по безопасности и практикующих специалистов, помогая понять и устранить 10 наиболее значимых угроз и начать свой путь в этом направлении.
 
 В нём используется стандартный и широко распространённый формат OWASP Top 10, обеспечивающий сжатые, практичные и применимые на практике рекомендации. Каждая запись содержит краткое описание, распространённые уязвимости, примеры сценариев и, что особенно важно, конкретные меры противодействия, которые команды могут начать внедрять уже сегодня.
 
-Наша цель — упростить и связать между собой уже существующие рекомендации, а не создавать дополнительную перегруженность пересекающимися материалами. Мы соотносим их с нашей таксономией Agentic AI Threats and Mitigations, которая остаётся нашей основополагающей и детальной базой, на которую опирается этот Топ-10.
+Наша цель — упростить и связать между собой уже существующие рекомендации, а не создавать дополнительную перегруженность пересекающимися материалами. Мы соотносим их с нашей таксономией Agentic AI Threats and Mitigations, которая остаётся нашей основополагающей и детальной базой, на которую опирается этот Топ 10.
 
-Наш фокус — агентные приложения, однако они не существуют изолированно и являются частью развивающегося приложения на основе LLM. В связи с этим наши записи ссылаются на OWASP Top 10 for LLM Applications и другие соответствующие стандарты. Среди них — различные другие списки OWASP Top 10, стандарт CycloneDX, Top 10 for Non-Human Identities (NHI), а также система оценки уязвимостей OWASP AI Vulnerability Scoring System (AIVSS) для оценки и приоритизации.
+Наш фокус — агентные приложения, однако они не существуют изолированно и являются частью разрабатываемого приложения на основе LLM. В связи с этим наши категории ссылаются на OWASP Top 10 for LLM Applications и другие соответствующие стандарты. Среди них — различные списки OWASP Top 10, стандарт CycloneDX, Top 10 for Non-Human Identities (NHI), а также система оценки уязвимостей OWASP AI Vulnerability Scoring System (AIVSS) для оценки и приоритизации.
 
-Агенты усиливают уже существующие уязвимости. Мы развиваем концепции наименьших привилегий (Least-Privilege) и избыточной автономности (Excessive Agency), вводя понятие наименьшей агентности (Least-Agency). Оно отражает нашу рекомендацию организациям избегать излишней автономности: развёртывание агентного поведения там, где оно не требуется, расширяет поверхность атаки, не создавая дополнительной ценности. Аналогичным образом, надёжная наблюдаемость становится обязательным условием: без чёткого понимания того, что делают агенты, почему они это делают и какие инструменты они задействуют, излишняя автономность может незаметно расширить поверхность атаки и превратить незначительные проблемы в сбои всей системы.
+Агенты усиливают уже существующие уязвимости. Мы развиваем концепции наименьших привилегий (Least-Privilege) и чрезмерной агентности (Excessive Agency), вводя понятие наименьшей агентности (Least-Agency). Оно отражает нашу рекомендацию организациям избегать излишней автономности: развёртывание агентного поведения там, где оно не требуется, расширяет поверхность атаки, не создавая дополнительной ценности. Аналогичным образом, надёжная наблюдаемость становится обязательным условием: без чёткого понимания того, что делают агенты, почему они это делают и какие инструменты они задействуют, излишняя автономность может незаметно расширить поверхность атаки и превратить незначительные проблемы в сбои всей системы.
 
-Этот документ — результат работы глобального сообщества OWASP. Десятки экспертов по безопасности из отрасли, научных кругов и государственных структур внесли вклад в исследование угроз, результаты red-team-тестирований и проверенные на практике меры противодействия при поддержке организаций, разрабатывающих агентные платформы, государственных учреждений и поставщиков продуктов.
+Этот документ — результат работы глобального сообщества OWASP. Десятки экспертов по безопасности из отрасли, научных кругов и государственных структур внесли вклад в исследование угроз, результаты red-team тестирований и проверенные на практике меры противодействия при поддержке организаций, разрабатывающих агентные платформы, государственных учреждений и поставщиков решений.
 
 В разделе «Благодарности» приведён список руководителей разделов, участников, авторитетного экспертного совета по рецензированию, а также организаций, принявших участие в рецензировании, что позволило нам учесть разнообразный опыт из реального мира.
 
 Мы признательны им и продолжим развиваться, используя подход OWASP, основанный на экспертном сообществе, открытом сотрудничестве, коллегиальном рецензировании и данных исследований, эксплойтов, инцидентов и вызовов реального развёртывания.
 
 С наилучшими пожеланиями,
 
-Джон Сотиропулос (John Sotiropoulos), член совета OWASP GenAI Security Project и со-руководитель ASI, председатель Agentic Top 10
+John Sotiropoulos, член совета OWASP GenAI Security Project и соруководитель ASI, председатель Agentic Top 10
 
-Керен Кац (Keren Katz), руководитель Agentic Top 10, OWASP GenAI Security Project — основная команда ASI
+Keren Katz, руководитель Agentic Top 10, OWASP GenAI Security Project — основная команда ASI
 
-Рон Ф. Дель Росарио (Ron F. Del Rosario), член основной команды OWASP GenAI Security Project и со-руководитель ASI
+Ron F. Del Rosario, член основной команды OWASP GenAI Security Project и соруководитель ASI