从数据出境、关基保护到 AI 安全监管，本文梳理 2026 年网络安全行业的政策、技术与市场三大主线，并给出安全从业者的应对建议。

自主智能体正在代码、运维与办公场景快速落地，提示注入、工具滥用、越权调用等新型威胁随之浮现。本文给出分层防护实践与上线检查清单。

大模型的训练与推理链路高度依赖开源框架、预训练权重与第三方数据集。本文从 OWASP 视角剖析大模型供应链的关键风险点，并提出可落地的防护框架。

XZ-Utils 后门事件为整个行业敲响警钟。本文梳理近年典型软件供应链攻击手法，并提出“可信构建 + 依赖治理”的防御体系与中小企业的务实起点。

软件物料清单（SBOM）已成为供应链透明化的核心抓手。本文结合 CycloneDX 与 SPDX 标准，分享企业从生成、管理到与漏洞联动的落地路径。

随着人工智能系统日益融入软件供应链、企业应用和安全基础设施，构建结构化、安全且可解释的模型交互层变得至关重要。模型上下文协议（MCP）正在兴起，成为定义人工智能模型操作、上下文和行为边界的框架。然而，MCP的强大功能和灵活性也带来了一类新的漏洞和攻击面，而这些漏洞和攻击面仍有待深入研究。 OWASP Top 10针对MCP的安全漏洞概述了MCP系统生命周期中最关键的安全问题，涵...

欢迎阅读 OWASP Top 10：2025版本发布内容。OWASP Top 10是面向开发人员与Web应用安全的标准安全意识文档，代表了业界对 Web应用最关键安全风险的广泛共识。2025 版 Top 10 中新增两个类别，并对一个类别进行了合并。我们尽可能保持对“根因”而非“症状”的关注。由于软件工程与软件安全本身的复杂性，要在仅 10 个类别中完全避免一定程度的重叠，基本是不可能的。 ...

智能体应用程序安全指南OWASP面向大语言模型应用与通用AI智能体的安全计划：十大风险PART 01内容介绍 智能体应用程序安全指南本指南旨在为设计、开发和部署基于大语言模型(LLM) 的安全智能体应用程序提供实用且可操作的指导。该指南与OWASP 智能体人工智能威胁与缓解 (ASI T&M) 文档相辅相成，重点关注构建者和防御者可以直接应用的具体技术建议。范围和受众受众： 本指南...

OWASP Mobile Top 10十大移动风险2024发布 列表M1:凭据使用不当Improper Credential UsageM2:供应链安全不足Inadequate Supply Chain SecurityM3:不安全的身份认证/授权Insecure Authentication/AuthorizationM4:输入/输出验证不足Insufficient Input/Outpu...

智能合约十大风险OWASP Smart Contract Top 10 2025OWASP 智能合约十大风险（2025）是一份标准安全意识文档，旨在为 Web3 开发者和安全团队提供关于智能合约中最常见的十大风险的深入解析。 作为参考指南，确保智能合约能够抵御近年来被利用或发现的最关键安全漏洞。SC01:2025 访问控制漏洞Access Control VulnerabilitiesSC0...

项目发布十大非人类身份风险OWASP“非人类身份（NHI）TOP 10”指的是与非人类身份在开发周期中相关的10 个最关键挑战或安全风险列表。这些挑战基于可利用性、普遍性、可检测性和影响等因素进行排名。该列表旨在帮助安全专业人员了解非人类攻击面，并开发出更好的保护和管理方法。非人类身份NHI 通常被开发者用来促进应用程序的创建，但它们也可能带来重大的安全风险。NHI TOP 10项目提供了对...

本项目旨在提升人们对基础设施安全风险、威胁与漏洞的意识，并提供高质量的信息。基础设施安全风险在信息安全领域中占据着至关重要的地位。在成功入侵系统后，这些漏洞往往是导致整个企业或组织遭受重大安全破坏的主要因素。尽管这些威胁在网络攻击链中具有重要地位，但由于攻击来源往往是内部而非外部，因此它们常被企业和组织忽视。企业和组织必须认识到，单纯的外部防护措施远远不足够。如果攻击者能够突破或绕过...

在这个AI技术日新月异的时代，大规模语言模型（LLM）正以前所未有的速度重塑各行各业。从客户互动到内部运营，LLM技术的广泛应用为我们的工作和生活带来了前所未有的便捷与效率。然而，随着技术的深入渗透，一系列安全挑战也随之浮现，不容忽视。自2023年起，OWASP携手全球安全社区，共同启动了《大规模语言模型应用Top 10》项目，旨在照亮LLM应用中的安全盲区，为开发者与安全专家搭建起一座...

2023-2024全球应用程序安全测试市场研究报告市场现状发展趋势前言在当今这个数字化时代，随着信息技术的飞速发展，应用程序已成为推动各行各业数字化转型的关键力量。然而，伴随着应用程序的广泛应用，其安全性问题也日益凸显，成为制约其进一步发展的关键因素。应用程序安全漏洞的存在不仅可能导致数据泄露、服务中断等严重后果，还可能对用户的隐私和财产安全构成威胁。因此，确保应用程序的安全性，已成为企业和...

2024OWASP十大主动控制项目面向开发者《2024OWASP十大主动控制》是一份针对软件架构师和开发人员的重要安全技术文档，旨在为他们提供具体、实用的指导，以帮助他们构建更加安全的软件。这份文档强调，软件架构师和开发人员都应该了解和遵循主动控制安全技术，并应在软件开发的早期阶段就主动应用，以确保最大效用。十大主动安全控制C1: 实施访问控制C2: 正确应用加密技术C3: 验证所有输入并处...

腾讯混元大模型、腾讯朱雀实验室联合清华大学深圳国际研究生院与 OWASP 中国，共同发布《大语言模型（LLM）安全性测评基准 v1.0》。该基准聚焦大语言模型在 Prompt 安全和内容安全两大维度的防护能力，旨在为企业在大模型应用与服务选型中提供全面、客观、中立的安全性评测参考。发布背景：大模型安全合规需求日益迫切自 2022 年以来，以 GPT 系列为代表的大语言模型技术快速发展，国内外...

大语言模型（LLM）安全性测评基准2022年以来，大语言模型（LLM）技术在自然语言处理领域得到了广泛的应用和发展，GPT系列模型因其惊人的语言生成能力获得世界瞩目，国内外各大厂商也在此领域展开了激烈竞争。2023年8月15日，国家六个部委发布的《生成式人工智能服务管理暂行办法》正式施行，该办法强调了大语言模型安全的重要性，防止生成潜在隐私泄露、违法犯罪内容。因此，为评估大语言模型应用及服务...

应用程序编程接口（API）是当今应用驱动世界创新的一个基本元素。从银行、零售、运输到物联网、 自动驾驶汽车、智慧城市，API 是现代移动、SaaS 和 web 应用程序的重要组成部分。从本质上讲，API 暴露了应用程序逻辑和敏感数据，如个人身份信息（PII），因此，API 越来越成为攻击者的目标。由于 API 特殊性质，需要一份特定于 API 的安全风险列表。API 安全侧重于策略和解决方...

项目发布机器学习安全风险 TOP 10OWASP Machine Learning Security Top Ten 中文下载：见附件 英文网址: OWASP Machine Learning Security Top Ten | OWASP Foundation 感谢以下中文项目参与人员（按拼音顺序排列）： 戴楚南、吴楠、肖文棣、张坤、张淼

2023 年 5 月 30 日，由 OWASP 中国与 ASA 应用安全联盟联合指导的《静态源代码安全扫描工具测评基准 V2.0》（以下简称"测评基准"）正式发布。新版基准重构了六大评估维度、覆盖 22 个测评域，首次引入扫描速率、漏洞误报率与漏报率等量化基准线，全面对接 DevSecOps 实践需求，为企业在 SAST 工具选型时提供客观、可量化的参考标准。升级背景：从 V1.0 到 De...

OWASP Docker Top 10容器安全十大风险(完整版)

为测试移动应用安全而写的综合性手册。4月17日，项目发布会，专业解析，就等你来！

11月21日，周六来聊“用Dependency Track管理软件供应链安全”。

OWASP_Top_10_Privacy_Countermeasures_v1.0中文版，《OWASP十大隐私风险》发布了，还有线上交流分享哦！

IoT安全威胁分析，物联网安全最佳实践

OWASP API 安全 Top 10中文版发布了。

本田汽车遭受工业型勒索软件攻击，部分生产系统中断。如何创建一个防御深入战略，以打击勒索软件和其他类型的恶意软件呢？

OWASP Juice Shop v10.0.0发布

《OWASP十大主动控制》项目，附《项目解析》资料下载。

OWASP十大主动控制2018（OWASP Top 10 Proactive Controls V3中文版）正式发布！！

区块链安全TOP10 正式发布！！

区块链安全TOP 10 2019_ RC1版本发布！

项目发布：OWASP无服务器应用安全风险TOP 10

"OWASP IoT TOP 10 2018"中文版发布