起きた記録は、防がれた分を数えない — LLM 2026 の投票と事故記録

OWASP Top 10 for LLM Applications 2026 は、2026年8月4日に公開されました(リポジトリの README と CITATION の日付)。序文はまず過去の版をこう振り返ります。

Every version of this list before now was built on judgment. Hundreds of practitioners weighed in on what matters most. That vote is still the spine of the list, and it belongs there.

2025 版の序文も、自分の作り方を brainstorming sessions, voting, and real-world feedback と書いています。2026 版は、この投票に事故記録を足しました。

We pulled together a corpus of 7,714 real incidents from public vulnerability databases and an AI-harm database, and we built classifiers that read them and placed the 6,639 that carried enough detail to sort.

この一覧が数えたものは2つです。 1つは実務者の投票で、何を危険と見ているかを表します。もう1つは、公開の脆弱性データベース(複数)と AI 被害データベース(1つ)から集めた記録のうち、分類できた 6,639 件です(収集 7,714 件の約86%)。重みは投票 3/4、記録 1/4 です。公開されている数値は全体の件数と重みだけで、項目ごとの票数・件数・投票者数は載っていません(確認範囲: リポジトリ HEAD 9253e38 の全ファイルと、取得した公開ページ)。3/4 と 1/4 を順位へどう掛けたかの式も、同じ範囲には見当たりません。

序文は、投票と記録が食い違った項目をはっきり挙げます。

Prompt injection is the clearest case. Practitioners rank it the number one risk. Rank the categories by the raw incident record instead, and it falls out of the top 10 entirely. That gap is a defense effect. Teams fight injection hard, so fewer clean exploits reach a public database, and the public count understates the risk that mature teams already spend real money holding off.

「10位外」は、事故記録だけで並べ直したらという仮定の順位です。公表された順位は1位のままです(It stays at number one.)。

一般化すると、事故記録は「起きて、公開 DB に届くほど詳しく書かれたもの」を数えています。防御に止められた攻撃は、その数に入りません。よく防がれている危険ほど、記録の上では小さく見えることがあります。 ただしこれは序文の解釈で、止められた件数を実際に数えた結果ではありません。序文が 1/4 に抑えた理由も同じ向きです。1年分のノイズの多いデータに、実務者の判断を覆させない(one noisy year of data does not get to overturn the judgment)という説明です。