ผู้ช่วยตรวจความปลอดภัยของโค้ด

ข้อมูลที่ต้องเตรียม

ไม่มีรายการบังคับ แต่คุณภาพของคำตอบขึ้นกับรายละเอียดที่คุณให้โดยตรง

ระดับความพร้อม: พร้อมใช้ทันที

วางแล้วใช้ได้เลย แทนค่าในวงเล็บด้วยข้อมูลจริงจะได้ผลดีกว่า แต่ไม่บังคับ

เครื่องมือและภาษา

ใช้ได้กับผู้ช่วย AI ทุกตัวที่รับข้อความยาว Skill.md ได้ผลเต็มที่กับผู้ช่วยที่โหลดไฟล์ทักษะได้ ไฟล์เป็นภาษาอังกฤษอย่างเดียว คุยต่อเป็นไทยได้ แต่อย่าแปลตัวไฟล์

ใครควรใช้

นักพัฒนา QA Engineer นอกกลุ่มนี้ยังใช้ได้ แต่ควรตรวจผลก่อนใช้จริง

กรอบงานที่วางไว้ให้ AI

ไม่ประกาศบทบาท แต่วางกรอบงานทันทีในบริบทของตรวจสอบและแก้บั๊ก เหมาะกับงานที่โจทย์ชัดอยู่แล้ว

โครงสร้างของคำสั่ง ทีละส่วน

เปิดไฟล์แล้วจะเจอหัวข้อเหล่านี้เรียงกันอยู่

• Method — taint tracing, not pattern matching — กำหนดลำดับการคิดให้เป็นขั้นเป็นตอน
• Step 1 — Trust boundary map — ปิดช่องที่ผลลัพธ์มักเพี้ยน
• Step 2 — Sink inventory — เพิ่มรายละเอียดเฉพาะของงานนี้ (8 ข้อย่อย)
• Step 3 — Authorisation, checked separately — เพิ่มรายละเอียดเฉพาะของงานนี้ (6 ข้อย่อย)
• Step 4 — Secrets and configuration — เพิ่มรายละเอียดเฉพาะของงานนี้
• Step 5 — Ranking — เพิ่มรายละเอียดเฉพาะของงานนี้ (4 ข้อย่อย)
• Output contract — ล็อกหน้าตาของผลลัพธ์ (10 ข้อย่อย)

ทำไมถึงได้ผลนิ่งกว่าการพิมพ์ถามเอง

เทียบกับการพิมพ์ถามสั้น ๆ คำสั่งนี้ตัดโอกาสที่ AI จะเดาออกทีละจุด

• ล็อกลำดับการทำงานไว้ ผลจึงเป็นระเบียบเดิมทุกครั้ง
• กำหนดรูปแบบผลลัพธ์ไว้ล่วงหน้า นำไปใช้ต่อได้เลย ไม่ต้องจัดรูปแบบใหม่
• มีข้อห้ามระบุไว้ ซึ่งเป็นส่วนที่คนมักลืมใส่ ทั้งที่ช่วยประหยัดเวลาแก้งานได้มากที่สุด

ขั้นที่ 1 — เปิดไฟล์และเลือกเครื่องมือ

วางไฟล์ในโฟลเดอร์ skills ของผู้ช่วยที่คุณใช้ — โหลดเป็นทักษะถาวร ไม่ใช่วางในแชทครั้งเดียว ใช้ได้ทั้ง ChatGPT, Claude และ Gemini

ขั้นที่ 2 — รันและอ่านผล

AI จะรับบทเป็น Strict Code Reviewer แล้วเดินตามหัวข้อ “Method — taint tracing, not pattern matching” ทีละขั้น ถ้าคำตอบยังกว้างไป ให้เติมบริบทแล้วรันซ้ำในแชทเดิม

แก้ตรงไหนเมื่อผลลัพธ์ไม่ตรงใจ

แต่ละหัวข้อคุมพฤติกรรมคนละอย่าง แก้ทีละหัวข้อแล้วรันใหม่ ถ้ารื้อพร้อมกันหลายจุด จะไม่รู้ว่าอะไรได้ผล

ปรับความเข้มของข้อกำหนด

กรอกตัวแปรครบแล้ว จุดปรับถัดไปคือข้อกำหนด แก้ทีละจุดแล้วดูผล

• แก้หัวข้อ “Output contract” เพื่อเปลี่ยนหน้าตาผลลัพธ์ เช่น เปลี่ยนเป็นตาราง หรือกำหนดความยาว
• เพิ่มหรือลดบรรทัดในหัวข้อ “Step 1 — Trust boundary map” คือวิธีคุมผลที่ตรงที่สุด หลุดกรอบซ้ำ ๆ ให้เติมข้อห้ามหนึ่งบรรทัด
• เขียนกลุ่มเป้าหมายให้แคบลง ระบุอาชีพ ช่วงอายุ และความรู้เดิม แทน “คนทั่วไป”
• คำสั่งนี้ยังไม่ได้กำหนดโทนไว้ ถ้าอยากได้เสียงที่คงที่ทุกครั้ง ให้เพิ่มหนึ่งบรรทัดระบุโทนที่ต้องการลงไปเอง

ใช้ได้ทันที และต่อยอดได้

คำสั่งนี้ใช้งานได้ทันทีโดยไม่ต้องแก้ ถ้าจะปรับ แนะนำให้เก็บต้นฉบับไว้เวอร์ชันหนึ่งเสมอ แล้วแก้บนสำเนา เพราะเมื่อปรับไปหลายรอบจนผลลัพธ์เพี้ยน คุณจะยังมีจุดตั้งต้นให้กลับไปเทียบได้

ต่อเป็น Workflow หลายขั้น

เอาผลจากคำสั่งนี้ไปเป็นข้อมูลตั้งต้นของคำสั่งถัดไปในหมวดตรวจสอบและแก้บั๊ก ร่างก่อนแล้วค่อยส่งต่อให้ตรวจ ได้ผลดีกว่าสั่งทุกอย่างรอบเดียว

ข้อควรรู้เฉพาะไฟล์ Skill.md

ไฟล์นี้เป็น Skill.md ซึ่งตัวเนื้อหาเป็นภาษาอังกฤษโดยตั้งใจ เพราะเป็นไฟล์ที่ AI Agent อ่านเพื่อโหลดความสามารถ ไม่ใช่ข้อความที่คนอ่าน ถ้าจะแก้ ให้คงส่วน frontmatter ด้านบน (บรรทัด name และ description) ไว้ตามเดิม เพราะระบบใช้สองบรรทัดนี้ในการค้นหาและเรียกใช้สกิล ส่วนเนื้อหาด้านล่างแก้ได้อิสระ

หน้าตาของคำตอบ

หัวข้อ “Output contract” ล็อกรูปแบบไว้ 10 องค์ประกอบ ผลจึงมีโครงเดิมทุกครั้ง

• พบช่องโหว่การตรวจสิทธิ์ระดับออบเจกต์ แสดง Request ที่ดึงข้อมูลของผู้เช่ารายอื่นได้ และให้วิธีแก้ด้วยการจำกัดขอบเขตคิวรี

สิ่งที่คำสั่งนี้จะไม่ทำ

ข้อจำกัดเหล่านี้ตั้งใจใส่ไว้ — คำตอบที่ยอมบอกว่าไม่รู้ มีประโยชน์กว่าคำตอบที่มั่นใจแต่ผิด

• “Step 1 — Trust boundary map” ระบุสิ่งที่ห้ามทำไว้ชัดเจน คำตอบที่ข้ามข้อห้ามเหล่านี้ถือว่าไม่ผ่าน

วิธีดูว่ารอบนี้ได้ผลดีหรือยัง

เกณฑ์ตรวจสอบเร็ว ๆ คือคำตอบอ้างอิงข้อมูลที่คุณให้จริง ไม่ใช่ตัวอย่างสมมติ ถ้ายังกว้างอยู่ ให้เติมรายละเอียดแล้วรันซ้ำ คำตอบที่กว้างจนใช้กับใครก็ได้ มักเกิดจากวงเล็บที่ยังไม่ได้แทนค่า