ภาพรวม

กลางปี 2025 ผู้ใช้ Replit รายงานว่า coding agent ลบฐานข้อมูล production ระหว่าง code freeze และสร้างข้อมูลสังเคราะห์ภายหลัง อีกกรณีคือ EchoLeak ซึ่งนักวิจัยแสดงเส้นทาง zero-click prompt injection ที่อาจทำให้ M365 Copilot ส่งข้อมูลออกผ่านอีเมลที่ผู้ใช้ไม่ต้องเปิด Microsoft แก้ช่องโหว่ก่อนการเปิดเผยและระบุว่าไม่พบการใช้โจมตีลูกค้า

เคสในย่อหน้าข้างบน

Replit/SaaStr เป็น incident ที่ผู้ใช้รายงาน (The Register) · EchoLeak เป็นช่องโหว่ที่มี advisory และ case study (CVE-2025-32711, paper) หลักฐานสองกรณีมีสถานะไม่เหมือนกัน

เหตุการณ์เหล่านี้แสดงให้เห็นว่าความเสี่ยงเกิดได้ทั้งจากตัวโมเดล การให้อำนาจแก่ agent และการเชื่อมต่อกับระบบภายนอก OWASP จึงมีเอกสารหลายชุดสำหรับขอบเขตที่ต่างกัน หน้านี้อธิบายหน้าที่และลำดับการใช้งานของแต่ละชุด

เอกสารที่เกี่ยวข้อง

เมื่อโมเดลเป็นส่วนประกอบที่รับ input และสร้าง output ให้เริ่มจาก LLM Top 10 หากระบบมี tool, memory หรือ autonomy ให้เพิ่ม Agentic Top 10 (ASI) หากเชื่อมต่อ MCP server ให้ประเมิน MCP Top 10 เพิ่มเติม ส่วน LLMSVS ใช้กำหนด verification requirements และหลักฐานการทดสอบ ขอบเขตเหล่านี้ทับซ้อนกันได้ตาม architecture ของระบบ

flowchart TB
    subgraph checked["LLMSVS v2.0 — เกณฑ์ตรวจรับ L1/L2/L3"]
    direction TB
        A["ชั้นแอปพลิเคชัน — โมเดลเป็น component<br/>LLM Top 10 : 2026"]
        B["ชั้น agent — โมเดลถือ tool ลงมือเอง<br/>Agentic Top 10 : ASI01–10"]
        C["ชั้น protocol — สายเชื่อม agent กับ tool<br/>MCP Top 10 : v0.1 beta"]
        A --> B --> C
    end

สามฉบับแรกเป็น awareness list ส่วน LLMSVS เป็นชุด verification requirements ระบบจริงอาจแตะหลายชั้นพร้อมกัน เช่น chatbot ที่ใช้ RAG และเรียก remote MCP tool จึงควรเลือกเอกสารตาม data flow และ capability ที่มี ไม่ใช่ตามชื่อผลิตภัณฑ์

เอกสารแต่ละชุดใช้ทำอะไร

เอกสารทั้งสี่ชุดไม่ได้มีความสัมพันธ์แบบหนึ่งรหัสต่อหนึ่งรหัส และ OWASP ไม่ได้ประกาศตาราง mapping ระหว่างรายการเหล่านี้ การนำรหัสมาเรียงเทียบกันโดยไม่มีบริบทจึงทำให้เข้าใจผิดได้ วิธีที่ชัดกว่าคือเลือกเอกสารจากคำถามที่ทีมกำลังตอบ

คำถามของทีม	เอกสารที่ใช้	ผลลัพธ์ที่ควรได้
แอปพลิเคชันที่ใช้ LLM มีความเสี่ยงประเภทใดบ้าง	LLM Top 10	รายการความเสี่ยงสำหรับ threat model ระดับแอปพลิเคชัน
Agent มี tool, memory หรือ autonomy แล้วเกิด failure mode อะไรเพิ่มขึ้น	Agentic Top 10	threat scenarios ที่ครอบคลุม goal, identity, delegation, memory และผลกระทบแบบต่อเนื่อง
การเชื่อมต่อ MCP server และ tool ต้องป้องกันอะไร	MCP Top 10	ความเสี่ยงที่ trust boundary ระหว่าง host, server, tool และ context
จะกำหนดและตรวจ security requirements อย่างไร	LLMSVS	requirements ตาม assurance level พร้อมขอบเขตและหลักฐานการทดสอบ

เอกสารหนึ่งชุดอาจเกี่ยวข้องกับความเสี่ยงเดียวกันได้หลายทาง ตัวอย่างเช่น prompt injection อาจเริ่มที่ข้อมูลซึ่งโมเดลอ่าน จากนั้นเปลี่ยนแผนของ agent แล้วลงท้ายด้วยการเรียก MCP tool ที่มีสิทธิ์สูง แต่ละเอกสารอธิบายคนละส่วนของเส้นทางนี้ จึงควรทำ threat model จาก data flow และ trust boundary ของระบบจริง แทนการจับคู่รหัสจากชื่อที่คล้ายกัน

ลำดับการใช้งาน

เริ่มจาก LLM Top 10 เป็นฐาน ระบบมี agent ก็เปิด ASI Top 10 ประกบ ใช้ MCP ก็เอา MCP Top 10 มาไล่ตอนออกแบบ integration แล้วปิดท้ายด้วย LLMSVS เป็นเกณฑ์ตรวจ เลือก level ตามความเสี่ยงของข้อมูลที่ระบบแตะ

เอกสารสี่ฉบับมีระดับ maturity และวิธีสร้างต่างกัน LLM Top 10 ปี 2026 ใช้ incident data 6,639 รายการประกอบการโหวต Agentic เป็นฉบับแรก MCP ยังเป็น beta ส่วน LLMSVS v2.0 เป็น release ของ verification requirements เวลาอ้างอิงควรระบุชื่อ เวอร์ชัน และวันที่เข้าถึง โดยเฉพาะเอกสารแบบ living document

ธีมร่วมคือระบบควรออกแบบภายใต้สมมติฐานว่าโมเดลอาจถูกหลอก LLM01 ชี้ว่าการกรอง input เพียงอย่างเดียวไม่พอ LLM03 กับ ASI02 ให้จำกัด capability และ ASI09 เตือนว่าขั้นตอน human approval เองก็ต้องแสดง action จริงอย่างตรวจสอบได้

แนวทางที่ใช้ร่วมกันได้คือให้สิทธิ์น้อยที่สุด ใช้ deterministic policy ตัดสิน action สำคัญ ตั้งเพดานงบและจำนวน step ที่หยุดการทำงานได้จริง และเก็บ audit log ที่ป้องกันการแก้ย้อนหลัง

เลือก control จากระบบจริง

ลักษณะระบบ	เอกสารตั้งต้น	หลักฐานที่ควรมีตอนตรวจ
Chatbot ไม่มี tool	LLM Top 10 + LLMSVS V1/V5	prompt/output test, data-flow diagram, rate-limit config
RAG ภายในองค์กร	เพิ่ม LLM02/05/09 + LLMSVS V4	retrieval authorization test, tenant isolation, corpus provenance
Agent มี write access	เพิ่ม ASI + LLMSVS V6	tool allowlist, scoped identity, action policy, rollback test
Remote MCP server	เพิ่ม MCP Top 10	server inventory, auth scope, pinned tool schema, invocation log
Multi-agent workflow	เพิ่ม ASI07/08/09	message identity/integrity, delegation scope, cascade limit, approval evidence