Paskutinį kartą peržiūrėta 2026 m. lapkričio 4 d., remiantis šiame įraše pateiktais šaltiniais.
Užklausa „pull request“ atrodo tvarkinga. Didžiąją jos dalį parašė kodavimo asistentas, testai sėkmingai atliekami, o biblioteka, apie kurią niekas komandoje negirdėjo, yra pridėta. Sujungus užklausas, galite išsiųsti paketą, kurio praėjusią savaitę nebuvo, arba galinį tašką, kuris praleidžia prieigos patikrinimą. Būtent šią spragą turi užpildyti kūrėjų saugumo mokymai. OWASP „Top 10:2025“ pirmenybę teikia pažeistai prieigos kontrolei ir praneša, kad... 100 % išbandytų programų turėjo tam tikrą prieigos kontrolės sutrikimą.
Šis sąrašas skirtas inžinerijos vadovams ir saugumo ekspertams. Gausite 10 paruoštų kursų, suskirstytų į 3 grupes, ką kiekvienas iš jų išsprendžia ir kaip jį įdiegti. Kiekviena grupė baigiasi… Mūsų pasirinkimasVienas teisinis punktas apibūdina JAV federalinę taisyklę, todėl naudokite jį kaip programą, o ne kaip nutarimą.
Visi 10 kursai vienu žvilgsniu
| Kursas | Ką jis apima | Ilgis | Įstatymas slypi už to? |
|---|---|---|---|
| Saugus dirbtinio intelekto pagalba kuriamas programinės įrangos kūrimas | Kodavimo asistentai, agentai ir saugus dirbtinio intelekto kodavimo ciklas | 45 min | Ne |
| Atmintyje saugūs C ir C++ pagal CERT ir MISRA standartus | Gyvavimo trukmės, rodyklės, dažni trūkumai ir statinė analizė | 45 min | Ne |
| Lygiagretumo saugumas | Gijos, užraktai, lenktynių sąlygos ir aklavietė | 40 min | Ne |
| Įmonės platformos kūrėjo adaptacija | Pirmas saugus pakeitimas, plėtiniai ir pakeitimų valdymas | 45 min | Ne |
| Duomenų klasifikavimas ir tvarkymas | Duomenų lygiai, saugojimas, bendrinimas ir šalinimas | 25 min | Ne |
| Dirbtinio intelekto saugumas visiems | Šešėlinis DI, greitas įterpimas ir nežinomo kodo paketai | 30 min | Ne |
| Svarbiausi saugumo suvokimo aspektai | Atakos etapai ir pagrindiniai įpročiai | 35 min | Taip (JAV finansinės institucijos) |
| Sukčiavimas apsimetant ir socialinė inžinerija | Pavojaus signalai, tikrinimas ir ataskaitų teikimas | 30 min | Ne |
| Slaptažodžiai, prieigos raktai ir daugiafaktorinis autentifikavimas | Saugūs prisijungimai, daugiafaktorinis autentifikavimas, prieigos raktai ir atkūrimas | 30 min | Ne |
| Socialinė inžinerija, sukčiavimas ir giliosios klastotės | Telefoniniai, mokėjimų ir apsimetinėjimo sukčiai | 35 min | Ne |
Tik saugumo suvokimo kursai yra pagrįsti JAV federaline taisykle ir tik kai kurioms organizacijoms: FTC apsaugos priemonių taisyklėje teigiama, kad finansinės įstaigos, kurioms taikomos šios taisyklės, privalo pateikti saugumo suvokimo mokymai jų darbuotojamsTai nenustato kurso visiems kitiems.
Saugus ir patikimas vystymasis
Saugus dirbtinio intelekto pagalba kuriamas programinės įrangos kūrimas: kodavimo asistentai ir agentai be rizikos
Šis 45 minučių kursas prasideda haliucinuojančiu paketu, kuris tampa ataka, tada aptariami šeši kodavimo asistentų ir agentų nesėkmės būdai, saugus dirbtinio intelekto kodavimo ciklas (raginimas, tikrinimas, testavimas, atskleidimas), pilkosios klientų duomenų zonos, apvalkalo komandos ir neišbandytos „pull request“ užklausos bei patvirtinti įrankiai su dirbtinio intelekto naudojimo etiketėmis „pull request“ užklausose. Kursas baigiasi 12 klausimų galutiniu patikrinimu, kai pasiekiama 80 % išlaikymo. „Trūkumo paieškos“ etapas puikiai tinka kaip atsakymo pasirinkimo skaidrė. Peržiūros dalį žr. Mūsų vadovas apie dirbtinio intelekto sugeneruoto kodo peržiūros mokymus.
Atmintyje saugūs C ir C++ pagal CERT ir MISRA standartus
Atminties saugumo spragos yra gerai žinoma C ir C++ pažeidžiamumų klasė. Šie 45 minučių kursai prasideda nuo gedimo dėl vieno atsitiktinio rodyklės, tada aptariami steko, kaupo ir gyvavimo ciklo, rodyklių ir masyvų, dažniausiai pasitaikančių spragų, tokių kaip naudojimas po „free“, kodavimo taisyklių praktinė taisykla ir statinės analizės apžvalga. Klausimas „įvardykite spragą“ yra natūralus atsakymo pasirinkimo etapas komandinio kodo peržiūros sesijoje.
Lygiagretumo saugumas: gijos, užraktai ir lenktynių sąlygos
Lenktynių sąlygos sukelia klaidas, kurios praeina kiekvieną testą iki gamybinės versijos. Šie 40 minučių kursai apžvelgia skaitiklį, kuris kas dešimtą kartą buvo neteisingas, tada aptariamos gijos, procesai ir asinchronizavimas, užraktai, mutexai ir semaforai, lenktynių sąlygos ir aklavietės, modeliai pagal kalbą ir peržiūros kontrolinis sąrašas. Scenarijus „pasirinkite įrankį“, mutexas arba semaforas, suteikia vidinės sistemos kūrėjams greitą jų žinių patikrinimą.
Įmonės platformos kūrėjo adaptacija: pirmas saugus perėjimas prie verslo platformos
Nauji kūrėjai, dirbantys konfigūruojamoje verslo platformoje, dažnai sugadina sistemą jau po pirmojo pakeitimo. Šiuose 45 minučių kursuose aptariamas pirmasis aktyvios konfigūracijos pakeitimas, platformos koncepcijos, ataskaitos ir apdorojimas, plėtiniai ir konfigūracijos saugykla, pakeitimų valdymas ir perdavimo rašto rašymas. Naudokite juos naujokui pirmąją savaitę, prieš jam liečiant tiekėjo objektą.
Mūsų pasirinkimas: saugus dirbtinio intelekto pagalba kuriamas programinės įrangos kūrimas. Dabar daugelis komandų pateikia asistento parašytą kodą, o šis kursas suteikia joms vieną ciklą, kurį reikia atlikti prieš jį sujungiant.
Duomenų ir dirbtinio intelekto įrankių saugumas
Duomenų klasifikavimas ir tvarkymas
Kūrėjai kopijuoja gamybinius duomenis į testavimo sistemas ir dalijasi žurnalais pokalbių lange. Šiuose 25 minučių trukmės kursuose aptariama, kodėl egzistuoja klasifikacija, įmonės lygiai, kas leidžiama ir kas neleidžiama žymint, saugant, bendrinant ir šalinant duomenis, įspėjamieji ženklai ir kaip perduoti duomenis aukštesniam lygiui. Kursas baigiasi 10 klausimų galutiniu patikrinimu, kai pasiekiama 80 % balų. „Kur turėtų būti saugomi konfidencialūs duomenys?“ – tai greitas „Pick Answer“ klausimas.
Dirbtinio intelekto saugumas visiems: šešėlinis dirbtinis intelektas, greitas įterpimas ir manipuliuojami rezultatai
Greitas įterpimas ir nežinomo kodo paketai tiesiogiai veikia kodavimo asistentus. Šiuose 30 minučių kursuose aptariamas šešėlinis dirbtinis intelektas ir pažeistas pokalbių robotas, greitas įterpimas ir užkrėstas turinys, paslėptos instrukcijos PDF failuose ir el. laiškuose, nemokami dirbtinio intelekto plėtiniai ir nežinomo kodo paketai, taip pat kaip pranešti apie incidentą arba paprašyti patvirtinto įrankio. Žodžių debesis tema „kokie dirbtinio intelekto įrankiai šiandien yra jūsų redaktoriuje?“ rodo, ką turi apimti jūsų politika.
Mūsų pasirinkimas: duomenų klasifikavimas ir tvarkymas. Į pokalbių robotą įklijuotas steko pėdsakas yra duomenų nutekėjimas, ir šie trumpi kursai paaiškina lygius prieš tai įvykstant.
Apsauga nuo paskyros ir sukčiavimo apsimetant
Svarbiausi saugumo suvokimo aspektai
Programuotojai turi šaltinio kodą, paslaptis ir prieigą prie duomenų srauto, todėl jiems svarbesni baziniai duomenys. Šie 35 minučių kursai aptaria, kodėl žmonės tampa taikiniais, atakos anatomiją, įspėjamuosius ženklus, kaip apsisaugoti ir kaip reaguoti bei pranešti apie ataką. Baigiamajame kurse, kurį sudaro 12 klausimų, reikia išlaikyti 80 %. Finansų įstaigoms, kurioms taikoma ši programa, tai yra paruoštas būdas įvykdyti FTC apsaugos priemonių taisyklės saugumo suvokimo mokymo reikalavimą, nors taisyklėje kursas neįvardytas.
Sukčiavimas apsimetant ir socialinė inžinerija
Kūrėjai sukčiaujami, norėdami gauti saugyklų ir debesijos prisijungimo duomenis. Šiuose 30 minučių kursuose paaiškinama, kaip kuriamos atakos, kokie yra įspėjamieji ženklai, kaip apsisaugoti ir kaip apie jas pranešti. Baigiamasis 12 klausimų patikrinimas, kurio metu reikia išlaikyti 80 %. Įtraukite netikro kodo talpinimo prisijungimo puslapio pavyzdį į tiesioginę analizę. Jūsų SOC triuoja tai, apie ką praneša kūrėjai: žr. mūsų SOC analitikų mokymų sąrašas.
Slaptažodžiai, prieigos raktai ir daugiafaktorinis autentifikavimas darbuotojams
Kūrėjų paskyros apsaugo kodą ir srautus, todėl joms reikalingas stiprus autentifikavimas. Šiuose 30 minučių kursuose aptariama, kodėl paskyros yra taikinys, stiprūs ir unikalūs prisijungimai, daugiafaktoriai ir prieigos raktai, netikri prisijungimo puslapiai ir pilkosios bendrinimo, sparčiųjų klavišų ir atkūrimo zonos. Įvertinimo skalė „kiek jūsų paskyrų naudoja daugiafaktorinį autentifikavimą?“ pradeda atvirą pokalbį.
Socialinė inžinerija, sukčiavimas ir giliosios klastotės: telefono, mokėjimo ir apsimetinėjimo sukčiavimas
Apsimetimo sukčiavimo taikinys – inžinieriai, galintys patvirtinti prieigą ar diegti programas. Šie 35 minučių kursai vyksta po įtikinamo prašymo, apima taktiką, patvirtinimą žinomu numeriu, netikrą balsą ir vaizdo įrašą bei kodėl darbo stažas ir slaptumas yra spaudimas, o ne įrodymas. Scenarijus „ar suteiktumėte šią prieigą?“ veikia kaip atsakymo pasirinkimo etapas.
Mūsų pasirinkimas: slaptažodžiai, prieigos raktai ir daugiafaktorinis autentifikavimas darbuotojams. Vienas pavogtas kūrėjo prisijungimo vardas gali pasiekti visą duomenų srautą, o slaptažodžiai yra atsparūs sukčiavimui, todėl vien pavogtas slaptažodis jo nebeatveria.
Kaip įgyvendinti planą
Pradėkite ten, kur trūkumai yra dažniausiai pasitaikantys. Sugedusi prieigos kontrolė randama ten, kur kiekvienos programos OWASP duomenys yra patikrinti, derinkite saugaus kodavimo kursus su peržiūros įpročiais, o ne vien skaidrėmis.
- Naujo kūrėjo pirmąją savaitę: saugumo suvokimo pagrindai, slaptažodžiai, prieigos raktai ir daugiafaktorinė autentifikacija (MFA), duomenų klasifikavimas ir platformos įvadinis kursas, jei jūsų komanda ją kuria.
- Per pirmąjį mėnesį: saugus dirbtinio intelekto pagalba kuriamas projektas, dirbtinio intelekto saugumas visiems ir atminties saugumo arba lygiagretumo kursas kalboms, kurias naudoja jūsų komanda.
- Kiekvienais metais: kartojimo testas kiekviename kurse, taip pat dirbtinio intelekto kursai, kai tik patvirtinamas naujas asistentas ar agentas.
- Kai taikoma: Jei esate finansinė įstaiga, kuriai taikoma ši taisyklė, nuolat atnaujinkite saugumo suvokimo mokymus, kaip aprašyta FTC apsaugos taisyklėse, ir pasiteiraukite savo advokato, kas dar taikoma jūsų šalyje ar valstijoje.
Šių kursų vedimo būdai AhaSlides
Bet kurį iš šių kursų galite susikurti kaip savarankiško tempo kursą su AhaSlides kurso kūrėjas, paleiskite juos kaip tiesioginę klausimų ir atsakymų sesiją arba atlikite abu veiksmus, atlikdami apklausą po kurso ir 30 dienų patikrindami, kas pasikeitė.
- Pasirinkite atsakymą: parodykite kodo fragmentą iš kurso ir paklauskite, kokį trūkumą jis paslepia.
- Žodžių debesis: Užduokite klausimą „Ką tikrinate prieš suliedami asistento parašytą kodą?“ ir palyginkite atsakymus su saugiu dirbtinio intelekto kodavimo ciklu.
- Įvertinimo skalė: Prieš ir po to paklauskite nuo 1 iki 5: „Kiek užtikrintai pastebite lenktynių sąlygą peržiūrint situaciją?“.
- Atviras: Surinkite anoniminius vos neįvykusius smūgius iš paskutinio sprinto tiesioginės sesijos pabaigoje.
DUK
Kokių saugumo mokymų reikia kūrėjams?
Programuotojams reikalingas saugus kodavimas, priklausomybių ir paslapčių tvarkymas bei saugus dirbtinio intelekto kodavimo įrankių naudojimas. Aukščiau pateikti kursai apima šiuos dalykus, taip pat kiekvienam darbuotojui reikalingus pagrindinius supratimo įgūdžius.
Ar dirbtinio intelekto generuojamas kodas yra saugus?
Ne pagal nutylėjimą. Jam reikalinga tokia pati peržiūra, testavimas ir nuskaitymas kaip ir bet kuriam kitam kodui, taip pat patikrinimas, ar kiekvienas siūlomas paketas egzistuoja ir yra patvirtintas.
Kas yra atminties saugumas?
Atminties saugumas – tai klaidų, tokių kaip buferio perpildymas ir „use after free“, kuriomis naudojasi užpuolikai, prevencija. C ir C++ kalboms reikalingos taisyklės ir statinė analizė, kad tai būtų pasiekta.
Kaip dažnai kūrėjai turėtų persikvalifikuoti saugumo srityje?
Kartą per metus, pateikiant trumpus atnaujinimus, kai pasikeičia sistemos, įrankiai ar grėsmės.
Šis įrašas yra bendro pobūdžio informacija, o ne teisinė konsultacija. Norėdami priimti sprendimą dėl savo darbovietės, pasitarkite su kvalifikuotu teisininku arba reguliavimo institucija.
