OWASP

หากคุณเคยทำงานด้านความปลอดภัยของเว็บแอปพลิเคชัน คุณคงเคยเห็นชื่อ OWASP Top 10 มาแล้ว รายการนี้จัดระบบรูปแบบช่องโหว่ที่นักพัฒนามักพบเจอซ้ำๆ ไม่ว่าจะเป็น SQL Injection, XSS หรือข้อบกพร่องด้านการยืนยันตัวตน และเผยแพร่เป็นความเสี่ยงที่ควรจัดการเป็นลำดับแรก OWASP เองไม่ใช่เครื่องมือหรือผู้ขายรายใดรายหนึ่ง แต่เป็นโครงการไม่แสวงหาผลกำไรที่ดำเนินการโดยผู้เชี่ยวชาญด้านความปลอดภัยทั่วโลกแบบอาสาสมัคร นอกจาก Top 10 แล้วยังเผยแพร่โครงการอื่นๆ อีกมากมาย รวมถึง OWASP Testing Guide, ASVS และ SAMM ด้วยการแพร่หลายของ Generative AI ทำให้ **OWASP Top 10 for LLM Applications** ถูกเผยแพร่ออกมา ครอบคลุมความเสี่ยงเฉพาะของ LLM 10 ข้อ รวมถึง Prompt Injection การรั่วไหลของข้อมูลสำคัญ และการให้สิทธิ์มากเกินไป จุดเด่นคืออินพุตเป็นภาษาธรรมชาติ ทำให้การตรวจสอบแบบดั้งเดิมไม่สามารถป้องกันการโจมตีบางรูปแบบได้ ในบริบท DevSecOps การนำแนวทาง OWASP มาใช้ใน CI/CD Pipeline เพื่อตรวจจับช่องโหว่ตั้งแต่เนิ่นๆ กลายเป็นแนวปฏิบัติทั่วไปแล้ว