# OWASP Top 10: เว็บ มือถือ API LLM และ Agentic

Locale: `th`

Source: `/th/compliance/owasp-top-10/`

Summary: สำรวจกรอบความปลอดภัย OWASP Top 10 ฉบับล่าสุดแยกตามประเภทเทคโนโลยี โดยสรุป 10 หมวดความเสี่ยงสำคัญ แนวทางการทดสอบ ภาพแผนผังอธิบาย และลิงก์ไปยังเอกสารทางการของ OWASP

สารบัญ

1. [ภาพรวม](/th/compliance/owasp-top-10/#topic-overview)
2. [เลือกสรุปกรอบ OWASP ตามขอบเขต](/th/compliance/owasp-top-10/#owasp-series-guides)

# OWASP Top 10: เว็บ มือถือ API LLM และ Agentic

สำรวจกรอบความปลอดภัย OWASP Top 10 ฉบับล่าสุดแยกตามประเภทเทคโนโลยี โดยสรุป 10 หมวดความเสี่ยงสำคัญ แนวทางการทดสอบ ภาพแผนผังอธิบาย และลิงก์ไปยังเอกสารทางการของ OWASP

[
              ![A01:2025 Broken Access Control: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-broken-access-control-th-v1.webp)
            ](/assets/compliance/owasp-web-broken-access-control-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A01:2025

## Broken Access Control

กฎการอนุญาตสิทธิ์ไม่ได้บังคับใช้อย่างสม่ำเสมอว่าผู้ใช้ที่ยืนยันตัวตนแล้วสามารถดู แก้ไข อนุมัติ หรือดูแลข้อมูลใดได้

[
              ![A02:2025 Security Misconfiguration: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-security-misconfiguration-th-v1.webp)
            ](/assets/compliance/owasp-web-security-misconfiguration-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A02:2025

## Security Misconfiguration

ค่าเริ่มต้นที่ไม่ปลอดภัย ฟีเจอร์ที่ไม่จำเป็น การตั้งค่าคลาวด์ที่เปิดกว้าง หรือการ hardening ที่ขาดหายทำให้ระบบเปิดรับความเสี่ยง

[
              ![A03:2025 Software Supply Chain Failures: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-software-supply-chain-failures-th-v1.webp)
            ](/assets/compliance/owasp-web-software-supply-chain-failures-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A03:2025

## Software Supply Chain Failures

แพ็กเกจภายนอก ระบบ build ช่องทางอัปเดต และ dependency ไม่ได้รับการกำกับดูแลเพียงพอที่จะรักษาความถูกต้องสมบูรณ์

[
              ![A04:2025 Cryptographic Failures: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-cryptographic-failures-th-v1.webp)
            ](/assets/compliance/owasp-web-cryptographic-failures-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A04:2025

## Cryptographic Failures

ข้อมูลสำคัญถูกเปิดเผยเพราะการเข้ารหัส การจัดการกุญแจ การเลือกโปรโตคอล หรือการจัดชั้นข้อมูลไม่เพียงพอ

[
              ![A05:2025 Injection: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-injection-th-v1.webp)
            ](/assets/compliance/owasp-web-injection-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A05:2025

## Injection

ข้อมูลนำเข้าที่ไม่น่าเชื่อถือถูกตีความเป็นคำสั่ง query template หรือ expression โดยคอมโพเนนต์ปลายทาง

[
              ![A06:2025 Insecure Design: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-insecure-design-th-v1.webp)
            ](/assets/compliance/owasp-web-insecure-design-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A06:2025

## Insecure Design

การออกแบบผลิตภัณฑ์ขาดข้อกำหนดด้านความปลอดภัย กรณีใช้งานผิดวัตถุประสงค์ หรือการควบคุมที่จำเป็นต่อ workflow ทางธุรกิจ

[
              ![A07:2025 Authentication Failures: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-authentication-failures-th-v2.webp)
            ](/assets/compliance/owasp-web-authentication-failures-th-v2.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A07:2025

## Authentication Failures

การพิสูจน์ตัวตน การจัดการ session การกู้คืนบัญชี หรือการป้องกัน credential ไม่สามารถยืนยันและรักษาตัวตนผู้ใช้ที่ถูกต้องได้อย่างเชื่อถือได้

[
              ![A08:2025 Software or Data Integrity Failures: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-software-or-data-integrity-failures-th-v1.webp)
            ](/assets/compliance/owasp-web-software-or-data-integrity-failures-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A08:2025

## Software or Data Integrity Failures

แอปพลิเคชันเชื่อถือโค้ด อัปเดต Serialized Object หรือข้อมูลจากขอบเขตที่ยังไม่ได้ตรวจสอบความถูกต้องสมบูรณ์ (Integrity)

[
              ![A09:2025 Security Logging and Alerting Failures: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-web-security-logging-and-alerting-failures-th-v2.webp)
            ](/assets/compliance/owasp-web-security-logging-and-alerting-failures-th-v2.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A09:2025

## Security Logging and Alerting Failures

เหตุการณ์ด้านความปลอดภัยที่สำคัญไม่ได้รับการบันทึก ปกป้อง เชื่อมโยง หรือดำเนินการอย่างทันท่วงที

[
              ![A10:2025 Mishandling of Exceptional Conditions: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-web-mishandling-exceptional-conditions-th-v1.webp)
            ](/assets/compliance/owasp-web-mishandling-exceptional-conditions-th-v1.webp)

OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน - A10:2025

## Mishandling of Exceptional Conditions

ความล้มเหลว timeout ภาระงานเกิน และสถานะที่ไม่คาดคิดได้รับการจัดการไม่สม่ำเสมอหรือเปิดให้ผ่านได้

[
              ![M1 Improper Credential Usage: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-mobile-improper-client-access-use-th-v3.webp)
            ](/assets/compliance/owasp-mobile-improper-client-access-use-th-v3.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M1

## Improper Credential Usage

Secret, Token, API Key หรือรหัสผ่าน ถูกฝังในโค้ด นำกลับมาใช้ซ้ำ เปิดเผยสู่ภายนอก หรือจัดการโดยไม่มีวงจรชีวิตความปลอดภัยที่เหมาะสม

[
              ![M2 Inadequate Supply Chain Security: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-inadequate-supply-chain-security-th-v1.webp)
            ](/assets/compliance/owasp-mobile-inadequate-supply-chain-security-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M2

## Inadequate Supply Chain Security

SDK มือถือ, Build Plugin, ระบบลงนามดิจิทัล และ Dependency ภายนอก ขาดการกำกับดูแลและความปลอดภัยในห่วงโซ่อุปทานที่เพียงพอ

[
              ![M3 Insecure Authentication and Authorization: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-insecure-authentication-authorization-th-v1.webp)
            ](/assets/compliance/owasp-mobile-insecure-authentication-authorization-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M3

## Insecure Authentication and Authorization

แอปพลิเคชันหรือระบบ Backend ยอมรับกระบวนการยืนยันตัวตน การจัดการ Session หรือการกำหนดสิทธิ์ที่มีช่องโหว่

[
              ![M4 Insufficient Input/Output Validation: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-insufficient-input-output-validation-th-v1.webp)
            ](/assets/compliance/owasp-mobile-insufficient-input-output-validation-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M4

## Insufficient Input/Output Validation

ข้อมูลที่ส่งข้ามระหว่างแอปพลิเคชัน อุปกรณ์ ระบบ Backend เบราว์เซอร์ หรือบริการภายนอก ถูกเชื่อถือโดยไม่มีการตรวจสอบรูปแบบและความถูกต้องอย่างเพียงพอ

[
              ![M5 Insecure Communication: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-insecure-communication-th-v1.webp)
            ](/assets/compliance/owasp-mobile-insecure-communication-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M5

## Insecure Communication

การรับส่งข้อมูลผ่านเครือข่าย การตรวจสอบใบรับรอง หรือการเลือกใช้ช่องทางสื่อสาร ไม่ได้ปกป้องข้อมูลระหว่างการรับส่งอย่างปลอดภัย

[
              ![M6 Inadequate Privacy Controls: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-inadequate-privacy-controls-th-v1.webp)
            ](/assets/compliance/owasp-mobile-inadequate-privacy-controls-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M6

## Inadequate Privacy Controls

แอปพลิเคชันรวบรวม แบ่งปัน จัดเก็บ หรือเปิดเผยข้อมูลส่วนบุคคลเกินกว่าวัตถุประสงค์ที่ได้แจ้งไว้และเกินความจำเป็น

[
              ![M7 Insufficient Binary Protections: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-insufficient-binary-protections-th-v1.webp)
            ](/assets/compliance/owasp-mobile-insufficient-binary-protections-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M7

## Insufficient Binary Protections

ไฟล์ Binary ของแอปพลิเคชันไม่มีกลไกป้องกันการแกะโค้ด การดัดแปลงแก้ไข หรือการบรรจุใหม่ที่เหมาะสมตาม Threat Model

[
              ![M8 Security Misconfiguration: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-security-misconfiguration-th-v1.webp)
            ](/assets/compliance/owasp-mobile-security-misconfiguration-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M8

## Security Misconfiguration

การกำหนดค่าใน Build Variant, การตั้งค่าแพลตฟอร์ม, Component ที่เปิดเผยภายนอก หรือการตั้งค่า Backend ทำให้เกิดช่องโหว่ที่ไม่ตั้งใจ

[
              ![M9 Insecure Data Storage: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-insecure-data-storage-th-v1.webp)
            ](/assets/compliance/owasp-mobile-insecure-data-storage-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M9

## Insecure Data Storage

ข้อมูลสำคัญถูกจัดเก็บหรือบันทึก Cache ไว้ในอุปกรณ์ โดยไม่มีการคุ้มครองจนแอปอื่น ผู้ใช้เครื่อง ระบบสำรองข้อมูล หรือกระบวนการตรวจพิสูจน์สามารถเข้าถึงได้

[
              ![M10 Insufficient Cryptography: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-mobile-insufficient-cryptography-th-v1.webp)
            ](/assets/compliance/owasp-mobile-insufficient-cryptography-th-v1.webp)

OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ - M10

## Insufficient Cryptography

การเลือกใช้อัลกอริทึมการเข้ารหัส โหมดการทำงาน ค่าสุ่ม กุญแจเข้ารหัส หรือกลไกการเข้ารหัสที่ไม่เหมาะสม ทำให้ไม่สามารถปกป้องข้อมูลในแอปมือถือได้อย่างปลอดภัย

[
              ![API1:2023 Broken Object Level Authorization: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-broken-object-level-authorization-th-v1.webp)
            ](/assets/compliance/owasp-api-broken-object-level-authorization-th-v1.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API1:2023

## Broken Object Level Authorization

API รับตัวระบุออบเจ็กต์โดยไม่ยืนยันว่าผู้เรียกมีสิทธิ์เข้าถึงออบเจ็กต์นั้นจริง

[
              ![API2:2023 Broken Authentication: จุดเริ่มโจมตี, ความผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-api-broken-authentication-th-v2.webp)
            ](/assets/compliance/owasp-api-broken-authentication-th-v2.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API2:2023

## Broken Authentication

กลไกยืนยันตัวตน token session credential หรือการกู้คืนบัญชีของ API สามารถถูกข้าม ใช้ซ้ำ หรือใช้ในทางที่ผิด

[
              ![API3:2023 Broken Object Property Level Authorization: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-broken-object-property-level-authorization-th-v1.webp)
            ](/assets/compliance/owasp-api-broken-object-property-level-authorization-th-v1.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API3:2023

## Broken Object Property Level Authorization

API เปิดเผยหรือยอมรับคุณสมบัติของออบเจ็กต์ที่ผู้เรียกไม่ควรอ่านหรือแก้ไขได้

[
              ![API4:2023 Unrestricted Resource Consumption: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-unrestricted-resource-consumption-th-v1.webp)
            ](/assets/compliance/owasp-api-unrestricted-resource-consumption-th-v1.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API4:2023

## Unrestricted Resource Consumption

คำขอสามารถใช้ compute หน่วยความจำ storage เครือข่าย หรือบริการปลายทางที่มีค่าใช้จ่ายมากเกินไป

[
              ![API5:2023 Broken Function Level Authorization: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-broken-function-level-authorization-th-v2.webp)
            ](/assets/compliance/owasp-api-broken-function-level-authorization-th-v2.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API5:2023

## Broken Function Level Authorization

endpoint หรือ action ของ API เข้าถึงได้โดยผู้เรียกที่ role ไม่ควรทำฟังก์ชันนั้น

[
              ![API6:2023 Unrestricted Access to Sensitive Business Flows: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-unrestricted-access-to-sensitive-business-flows-th-v1.webp)
            ](/assets/compliance/owasp-api-unrestricted-access-to-sensitive-business-flows-th-v1.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API6:2023

## Unrestricted Access to Sensitive Business Flows

API อนุญาตให้ทำ automation หรือเรียกซ้ำ workflow ทางธุรกิจที่มีมูลค่าสูงโดยไม่มีการต้านทานการใช้ในทางที่ผิดเพียงพอ

[
              ![API7:2023 Server Side Request Forgery: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-server-side-request-forgery-th-v1.webp)
            ](/assets/compliance/owasp-api-server-side-request-forgery-th-v1.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API7:2023

## Server Side Request Forgery

เซิร์ฟเวอร์ดึง URL หรือปลายทางเครือข่ายที่ผู้เรียกควบคุมโดยไม่มีการควบคุมปลายทางเพียงพอ

[
              ![API8:2023 Security Misconfiguration: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-security-misconfiguration-th-v1.webp)
            ](/assets/compliance/owasp-api-security-misconfiguration-th-v1.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API8:2023

## Security Misconfiguration

API gateway, CORS, header ทรัพยากรคลาวด์ การจัดการข้อผิดพลาด หรือค่าเริ่มต้นเปิดเผยมากกว่าที่ตั้งใจ

[
              ![API9:2023 Improper Inventory Management: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-improper-inventory-management-th-v1.webp)
            ](/assets/compliance/owasp-api-improper-inventory-management-th-v1.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API9:2023

## Improper Inventory Management

ทีมไม่ทราบ API host เวอร์ชัน environment เจ้าของ และ data flow ที่เปิดเผยครบถ้วน

[
              ![API10:2023 Unsafe Consumption of APIs: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-api-unsafe-consumption-of-apis-th-v2.webp)
            ](/assets/compliance/owasp-api-unsafe-consumption-of-apis-th-v2.webp)

OWASP API Security Top 10:2023 สรุปช่องโหว่ API - API10:2023

## Unsafe Consumption of APIs

แอปพลิเคชันเชื่อถือข้อมูล ความพร้อมใช้งาน การยืนยันตัวตน หรือพฤติกรรมจาก API ต้นทางมากเกินควร

[
              ![LLM01:2026 Prompt Injection: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-prompt-injection-th-v1.webp)
            ](/assets/compliance/owasp-llm-prompt-injection-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM01:2026

## Prompt Injection

เนื้อหาที่ไม่น่าเชื่อถือ รวมถึงข้อมูลข้ามสื่อ (Cross-modal) อย่างภาพ เสียง หรือวิดีโอ ชักจูงให้โมเดลละเลยคำสั่งเดิมที่ตั้งใจ เปิดเผยข้อมูล หรือดำเนินกระบวนการที่ไม่ปลอดภัย

[
              ![LLM02:2026 Sensitive Information Disclosure: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-sensitive-information-disclosure-th-v1.webp)
            ](/assets/compliance/owasp-llm-sensitive-information-disclosure-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM02:2026

## Sensitive Information Disclosure

แอปพลิเคชัน LLM เปิดเผย secret ข้อมูลส่วนบุคคล context ที่เป็นความลับ หรือ output ที่ได้รับการปกป้องแก่ผู้ที่ไม่มีสิทธิ์

[
              ![LLM03:2026 Excessive Agency: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-excessive-agency-th-v1.webp)
            ](/assets/compliance/owasp-llm-excessive-agency-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM03:2026

## Excessive Agency

อันดับ 3 ในฉบับปี 2026: LLM Agent ได้รับสิทธิ์การเรียกใช้ Tool, การตัดสินใจอัตโนมัติ (Autonomy) หรือขอบเขตการทำงานกว้างเกินกว่าภารกิจที่กำหนด

[
              ![LLM04:2026 Supply Chain: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-supply-chain-th-v1.webp)
            ](/assets/compliance/owasp-llm-supply-chain-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM04:2026

## Supply Chain

โมเดล, Dataset, Plugin, Agent, Framework และบริการภายนอก นำพา Dependency ที่ไม่น่าเชื่อถือหรือขาดการกำกับดูแลเข้ามา รวมถึง promoted model artifact ที่ถูกแอบดัดแปลงหรือไม่ตรงตามที่ระบุ

[
              ![LLM05:2026 Data and Model Poisoning: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-data-and-model-poisoning-th-v1.webp)
            ](/assets/compliance/owasp-llm-data-and-model-poisoning-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM05:2026

## Data and Model Poisoning

ข้อมูลสำหรับ Training, Fine-tuning, การประเมินผล หรือการค้นคืนถูกแทรกแซงจนคุณภาพลดลง เกิดอคติ หรือแสดงพฤติกรรมที่ไม่ต้องการ โดยฉบับปี 2026 รวม fine-tuning subversion ไว้ในหมวดนี้

[
              ![LLM06:2026 Unbounded Consumption: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-unbounded-consumption-th-v1.webp)
            ](/assets/compliance/owasp-llm-unbounded-consumption-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM06:2026

## Unbounded Consumption

แอปพลิเคชัน LLM อนุญาตให้มีการใช้งาน Token, การประมวลผล Compute, การเรียกใช้เครื่องมือ, พื้นที่จัดเก็บ หรือบริการภายนอก โดยไม่มีการควบคุมขอบเขต

[
              ![LLM07:2026 Misinformation: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-misinformation-th-v1.webp)
            ](/assets/compliance/owasp-llm-misinformation-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM07:2026

## Misinformation

LLM สร้างข้อมูลที่ดูน่าเชื่อถือแต่ผิด ไม่ครบ ล้าสมัย หรือมีแหล่งอ้างอิงไม่เพียงพอจนผู้ใช้นำไปพึ่งพา

[
              ![LLM08:2026 Hidden Context Exposure: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-hidden-context-exposure-th-v1.webp)
            ](/assets/compliance/owasp-llm-hidden-context-exposure-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM08:2026

## Hidden Context Exposure

หมวดความเสี่ยงที่สืบทอดจาก System Prompt Leakage ในฉบับปี 2026: System Prompt, Hidden Context หรือสถานะการทำงานถูกเปิดเผยจนเห็นตรรกะ ข้อมูลความลับ หรือข้อสมมติในการปฏิบัติการ

[
              ![LLM09:2026 Vector and Embedding Weaknesses: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-vector-and-embedding-weaknesses-th-v2.webp)
            ](/assets/compliance/owasp-llm-vector-and-embedding-weaknesses-th-v2.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM09:2026

## Vector and Embedding Weaknesses

Vector Store และ Retrieval Pipeline ขาดการควบคุมสิทธิ์ การแยกขอบเขตผู้ใช้บริการ (Tenant Isolation) การกำกับดูแลข้อมูล หรือการตรวจสอบความถูกต้องสมบูรณ์อย่างเหมาะสม

[
              ![LLM10:2026 Improper Output Handling: จุดเริ่มโจมตี, การควบคุมที่ล้มเหลว, ผลกระทบ, การหยุดการโจมตี](/assets/compliance/owasp-llm-improper-output-handling-th-v2.webp)
            ](/assets/compliance/owasp-llm-improper-output-handling-th-v2.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026 - LLM10:2026

## Improper Output Handling

ระบบปลายทางเชื่อถือหรือนำ Output ของโมเดลไปประมวลผลโดยไม่มีการตรวจสอบ (Validation), การ Encode หรือการตรวจเช็กนโยบายความปลอดภัย รวมถึงโค้ดที่ไม่ปลอดภัยที่ระบบ AI Assistant สร้างขึ้นในปริมาณมาก

[
              ![ASI01:2026 Agent Goal Hijack: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-agent-goal-hijack-th-v1.webp)
            ](/assets/compliance/owasp-agent-agent-goal-hijack-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI01:2026

## Agent Goal Hijack

ข้อมูลนำเข้าหรือ Context จากระบบ RAG ถูกแทรกคำสั่งอันตรายเพื่อบิดเบือนเป้าหมายและตรรกะการตัดสินใจของ Agent ทำให้ละทิ้งภารกิจเดิมแล้วไปทำตามเป้าหมายแฝงของผู้โจมตี

[
              ![ASI02:2026 Tool Misuse and Exploitation: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-tool-misuse-exploitation-th-v1.webp)
            ](/assets/compliance/owasp-agent-tool-misuse-exploitation-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI02:2026

## Tool Misuse and Exploitation

Agent ถูกหลอกให้เรียกใช้ฟังก์ชันหรือเครื่องมือภายนอกอย่างผิดวิธี เช่น เรียกใช้ API ลบข้อมูล หรือส่งคำสั่งฐานข้อมูลโดยไม่มีการตรวจสอบพารามิเตอร์อย่างรัดกุม

[
              ![ASI03:2026 Identity and Privilege Abuse: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-identity-privilege-abuse-th-v1.webp)
            ](/assets/compliance/owasp-agent-identity-privilege-abuse-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI03:2026

## Identity and Privilege Abuse

Agent ได้รับสิทธิ์การเข้าถึงระบบที่สูงเกินไป หรือใช้ Service Account ร่วมกัน ทำให้คำขอจากผู้ใช้ทั่วไปสามารถเข้าถึงทรัพยากรระดับสูงผ่านตัวตนของ Agent ได้

[
              ![ASI04:2026 Agentic Supply Chain Vulnerabilities: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-agentic-supply-chain-vulnerabilities-th-v1.webp)
            ](/assets/compliance/owasp-agent-agentic-supply-chain-vulnerabilities-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI04:2026

## Agentic Supply Chain Vulnerabilities

เปิดใช้ส่วนประกอบภายนอกโดยไม่ตรวจที่มา ความครบถ้วน หรือหลักฐานรับรอง

[
              ![ASI05:2026 Unexpected Code Execution (RCE): จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-unexpected-code-execution-th-v1.webp)
            ](/assets/compliance/owasp-agent-unexpected-code-execution-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI05:2026

## Unexpected Code Execution

Agent สร้างและรันสคริปต์ภาษา Python, Shell Command หรือคำสั่งฐานข้อมูลบนเซิร์ฟเวอร์โดยตรงเพื่อแก้ปัญหา โดยไม่มีการจำกัดสภาพแวดล้อมการทำงาน

[
              ![ASI06:2026 Memory & Context Poisoning: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-memory-context-poisoning-th-v1.webp)
            ](/assets/compliance/owasp-agent-memory-context-poisoning-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI06:2026

## Memory & Context Poisoning

การฝังข้อมูลเท็จหรือคำสั่งแฝงลงใน Short-term Memory, Vector DB หรือ Long-term Knowledge Base ของ Agent เพื่อให้ Agent จำข้อมูลที่ผิดพลาดและใช้ตัดสินใจในอนาคต

[
              ![ASI07:2026 Insecure Inter-Agent Communication: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-insecure-inter-agent-communication-th-v2.webp)
            ](/assets/compliance/owasp-agent-insecure-inter-agent-communication-th-v2.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI07:2026

## Insecure Inter-Agent Communication

การรับส่งข้อความ คำสั่ง หรือผลลัพธ์ระหว่าง Multi-Agent Network ขาดการพิสูจน์ตัวตนและการปกป้องความถูกต้องสมบูรณ์ของข้อมูล

[
              ![ASI08:2026 Cascading Failures: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-cascading-failures-th-v1.webp)
            ](/assets/compliance/owasp-agent-cascading-failures-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI08:2026

## Cascading Failures

การมอบหมายงาน การลองซ้ำ และ Feedback Loop ส่งต่อข้อผิดพลาดโดยไม่แยกความเสียหาย

[
              ![ASI09:2026 Human-Agent Trust Exploitation: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-human-agent-trust-exploitation-th-v1.webp)
            ](/assets/compliance/owasp-agent-human-agent-trust-exploitation-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI09:2026

## Human-Agent Trust Exploitation

ผู้โจมตีใช้ Agent ในการสร้างปฏิสัมพันธ์ที่ดูน่าเชื่อถือ สมจริง และแนบเนียน เพื่อล่อลวงให้ผู้ใช้มนุษย์หลงเชื่อและทำตามคำสั่งที่ไม่ปลอดภัย

[
              ![ASI10:2026 Rogue Agents: จุดเริ่มโจมตี, จุดที่ความเชื่อถือผิดพลาด, ผลกระทบ, มาตรการลดความเสี่ยง](/assets/compliance/owasp-agent-rogue-agents-th-v1.webp)
            ](/assets/compliance/owasp-agent-rogue-agents-th-v1.webp)

OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026 - ASI10:2026

## Rogue Agents

ระบบกำกับดูแลตรวจไม่พบหรือควบคุมพฤติกรรมที่เบี่ยงจากหน้าที่และขอบเขตไม่ได้

150

## เลือกสรุปกรอบ OWASP ตามขอบเขต

- OWASP 2025
          [OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน](/th/compliance/owasp-top-10/web/)
          สรุป 10 หมวดความเสี่ยงสำคัญตามมาตรฐาน OWASP Top 10:2025 สำหรับเว็บแอปพลิเคชัน ใช้เป็นแนวทางกำหนดขอบเขตการทดสอบ ประเมินช่องโหว่ และวางแผนยกระดับความมั่นคงปลอดภัย
- OWASP 2024
          [OWASP Mobile Top 10:2024 สรุปความปลอดภัยแอปมือถือ](/th/compliance/owasp-top-10/mobile/)
          สรุป 10 หมวดความเสี่ยงสำคัญตามมาตรฐาน OWASP Mobile Top 10:2024 สำหรับแอปพลิเคชันบนระบบปฏิบัติการ Android และ iOS รวมถึงบริการ Backend และ API ที่เกี่ยวข้อง
- OWASP 2023
          [OWASP API Security Top 10:2023 สรุปช่องโหว่ API](/th/compliance/owasp-top-10/api/)
          สรุป 10 หมวดความเสี่ยงสำคัญตามมาตรฐาน OWASP API Security Top 10:2023 สำหรับ Web API สถาปัตยกรรม Microservices และการเชื่อมต่อระหว่างระบบ
- OWASP 2026
          [OWASP Top 10 สำหรับแอปพลิเคชัน LLM ฉบับปี 2026](/th/compliance/owasp-top-10/llm/)
          สรุป 10 หมวดความเสี่ยงสำคัญตามมาตรฐาน OWASP Top 10 for LLM Applications:2026 ครอบคลุมช่องโหว่ด้าน Prompt Injection ข้อมูล ความปลอดภัยในการเรียกใช้เครื่องมือ และห่วงโซ่อุปทานของโมเดล AI
- OWASP 2026
          [OWASP Top 10 สำหรับแอปพลิเคชัน Agentic ฉบับปี 2026](/th/compliance/owasp-top-10/agent/)
          สรุป 10 หมวดความเสี่ยงสำคัญตามมาตรฐาน OWASP Top 10 for Agentic Applications:2026 ครอบคลุมการตัดสินใจอัตโนมัติของ AI Agent การเรียกใช้คำสั่ง ขอบเขตสิทธิ์ และระบบ Multi-Agent

เปิดภาพขนาดเต็มเพื่อซูม

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

อัปเดตล่าสุด 16 ตุลาคม 2569