Pēdējo reizi pārskatīts 2026. gada 4. novembrī, salīdzinot ar šajā ierakstā norādītajiem avotiem.
Pieprasījums “pull request” izskatās kārtīgs. Kodēšanas asistents to lielāko daļu uzrakstīja, testi izturēja, un tas pievienoja bibliotēku, par kuru neviens komandā nebija dzirdējis. Apvienojiet tos, un jūs, iespējams, nosūtīsiet pakotni, kas pagājušajā nedēļā nepastāvēja, vai galapunktu, kas izlaiž piekļuves pārbaudi. Tā ir nepilnība, kas izstrādātāju drošības apmācībā ir jāaizpilda. OWASP Top 10:2025 pirmajā vietā izvirza bojātu piekļuves kontroli un ziņo, ka... 100% testēto lietojumprogrammu bija kāda veida bojāta piekļuves kontrole.
Šis saraksts ir paredzēts inženierzinātņu vadītājiem un drošības ekspertiem. Jūs saņemsiet 10 gatavus kursus 3 grupās, ko katrs no tiem labo un kā tos ieviest. Katra grupa noslēdzas ar Mūsu izvēleViens juridiskais punkts apraksta ASV federālo noteikumu, tāpēc izmantojiet to kā mācību programmu, nevis lēmumu.
Visi 10 kursi īsumā
| kurss | Ko tas aptver | Garums | Likums aiz tā? |
|---|---|---|---|
| Droša mākslīgā intelekta atbalstīta programmatūras izstrāde | Kodēšanas asistenti, aģenti un drošā mākslīgā intelekta kodēšanas cilpa | 45 min | Nē |
| Atmiņā drošas C un C++ valodas atbilstoši CERT un MISRA standartiem | Dzīves laiki, norādes, bieži sastopamie trūkumi un statiskā analīze | 45 min | Nē |
| Vienlaicības drošība | Vītnes, slēdzenes, sacensību nosacījumi un strupceļš | 40 min | Nē |
| Uzņēmuma platformas izstrādātāja adaptācija | Pirmās drošās izmaiņas, paplašinājumi un izmaiņu kontrole | 45 min | Nē |
| Datu klasifikācija un apstrāde | Līmeņi, datu glabāšana, koplietošana un iznīcināšana | 25 min | Nē |
| Mākslīgā intelekta drošība ikvienam | Ēnu mākslīgais intelekts, tūlītēja injekcija un nezināma koda paketes | 30 min | Nē |
| Drošības izpratnes pamati | Uzbrukuma posmi un galvenie ieradumi | 35 min | Jā (ASV apdrošinātās finanšu iestādes) |
| Pikšķerēšana un sociālā inženierija | Brīdinājuma signāli, pārbaude un ziņošana | 30 min | Nē |
| Paroles, piekļuves atslēgas un daudzfaktoru autentifikācija | Drošas pierakstīšanās, MFA, piekļuves atslēgas un atkopšana | 30 min | Nē |
| Sociālā inženierija, krāpšana un dziļviltojumi | Krāpniecība ar tālruni, maksājumiem un personības nodošanu | 35 min | Nē |
Tikai drošības izpratnes kurss ir balstīts uz ASV federālajiem noteikumiem, un tikai dažām organizācijām: FTC drošības pasākumu noteikums nosaka, ka attiecīgajām finanšu iestādēm ir jānodrošina drošības izpratnes apmācības savam personālamTas nenosaka kursu visiem pārējiem.
Droša un aizsargāta attīstība
Droša mākslīgā intelekta atbalstīta programmatūras izstrāde: kodēšanas asistenti un aģenti bez riska
Šis 45 minūšu kurss sākas ar halucinētu pakotni, kas pārvēršas par uzbrukumu, pēc tam tiek apskatīti seši veidi, kā kodēšanas asistenti un aģenti neizdodas, drošā mākslīgā intelekta kodēšanas cilpa (uzvedne, pārbaude, testēšana, atklāšana), klientu datu pelēkās zonas, čaulas komandas un nepārbaudīti pull pieprasījumi, kā arī apstiprināti rīki ar mākslīgā intelekta lietošanas etiķetēm pull pieprasījumos. Tas noslēdzas ar 12 jautājumu noslēguma pārbaudi, kuras laikā jānokārto 80 %. Kārta "noteikt trūkumu" labi darbojas kā atbildes izvēles slaids. Atkārtošanas daļu skatiet sadaļā mūsu ceļvedis mākslīgā intelekta ģenerēta koda pārskatīšanas apmācībā.
Atmiņā drošas C un C++ valodas atbilstoši CERT un MISRA standartiem
Atmiņas drošības trūkumi ir labi zināma ievainojamību klase C un C++ valodās. Šis 45 minūšu kurss sākas ar avāriju no viena maldīga rādītāja, pēc tam tiek aplūkoti steka, kaudzes un dzīves cikli, rādītāji un masīvi, izplatīti trūkumi, piemēram, izmantošana pēc atbrīvošanas, kodēšanas noteikumi praksē un statiskā analīze pārskatā. Jautājums "nosauciet trūkumu" ir dabiska atbilžu izvēles kārta komandas koda pārskatīšanas sesijā.
Vienlaicīguma drošība: pavedieni, slēdzenes un sacensību nosacījumi
Sacensību nosacījumi rada kļūdas, kas iztur katru testu līdz pat ražošanas procesam. Šis 40 minūšu kurss seko skaitītājam, kas bija nepareizs katrā desmitajā palaišanas reizē, pēc tam aptver pavedienus, procesus un asinhronitāti, bloķējumus, savstarpējas savienošanas (mutex) un semaforus, sacensību nosacījumus un strupceļu, modeļus pēc valodas un pārskatīšanas kontrolsarakstu. "Rīka izvēles" scenārijs, savstarpējas savienošanas (mutex) vai semafors, sniedz serveru izstrādātājiem ātru iespēju pārbaudīt savas zināšanas.
Uzņēmuma platformas izstrādātāja adaptācija: jūsu pirmā drošā pāreja uz biznesa platformu
Jauni izstrādātāji konfigurējamā biznesa platformā bieži vien sabojājas jau ar pirmajām izmaiņām. Šis 45 minūšu kurss aptver pirmās izmaiņas tiešsaistes konfigurācijā, platformas koncepcijas, pārskatus un apstrādi, paplašinājumus un konfigurācijas krātuvi, izmaiņu kontroli un nodošanas piezīmes rakstīšanu. Izmantojiet to jaunajam darbiniekam pirmajā nedēļā, pirms viņš pieskaras piegādātāja objektam.
Mūsu izvēle: droša programmatūras izstrāde ar mākslīgā intelekta palīdzību. Daudzas komandas tagad piegādā asistenta rakstītu kodu, un šis kurss dod tām vienu ciklu, kas jāievēro pirms koda apvienošanas.
Datu un mākslīgā intelekta rīku drošība
Datu klasifikācija un apstrāde
Izstrādātāji kopē ražošanas datus testēšanas sistēmās un kopīgo žurnālus tērzēšanā. Šajā 25 minūšu kursā ir aprakstīts, kāpēc pastāv klasifikācija, uzņēmuma līmeņi, kas ir atļauts un kas nav atļauts datu marķēšanā, glabāšanā, kopīgošanā un iznīcināšanā, brīdinājuma signāli un kā tos nodot tālāk. Kurss noslēdzas ar 10 jautājumu noslēguma pārbaudi, kad ir nokārtoti 80 %. "Kur jāglabā konfidenciāli dati?" ir ātrs jautājums ar izvēles atbildi.
Mākslīgā intelekta drošība ikvienam: ēnu mākslīgais intelekts, tūlītēja injekcija un manipulētas izvades
Ātra injekcija un nezināma koda pakotnes tieši ietekmē kodēšanas asistentus. Šis 30 minūšu kurss aptver ēnu mākslīgo intelektu un kompromitētu tērzēšanas robotu, ātru injekciju un saindētu saturu, slēptas instrukcijas PDF failos un e-pastos, bezmaksas mākslīgā intelekta paplašinājumus un nezināma koda pakotnes, kā arī to, kā ziņot par incidentu vai pieprasīt apstiprinātu rīku. Vārdu mākonis par tēmu "kuri mākslīgā intelekta rīki šodien ir jūsu redaktorā?" parāda, kas jāietver jūsu politikai.
Mūsu izvēle: Datu klasifikācija un apstrāde. Steka izsekošanas dati, kas ielīmēti tērzēšanas robotā, ir datu noplūde, un šis īsais kurss skaidri parāda līmeņus, pirms tas notiek.
Konta un pikšķerēšanas aizsardzība
Drošības izpratnes pamati
Izstrādātājiem ir avota kods, slepenie dati un piekļuve cauruļvadam, tāpēc viņiem pamatprasības ir svarīgākas. Šis 35 minūšu kurss aptver, kāpēc cilvēki tiek pakļauti uzbrukuma mērķim, uzbrukuma anatomiju, brīdinājuma signālus, to, kā pasargāt sevi un kā reaģēt un ziņot, kā arī 12 jautājumu noslēguma pārbaudi, lai nokārtotu 80%. Finanšu iestādēm, uz kurām attiecas šis kurss, tas ir gatavs veids, kā izpildīt FTC drošības noteikumu drošības izpratnes apmācības prasību, lai gan noteikumos kurss nav minēts.
Pikšķerēšana un sociālā inženierija
Izstrādātāji tiek pakļauti pikšķerēšanas uzbrukumiem, lai iegūtu krātuves un mākoņa akreditācijas datus. Šajā 30 minūšu kursā ir paskaidrots, kā tiek veidoti uzbrukumi, kādi ir brīdinājuma signāli, kā pasargāt sevi un kā ziņot, kā arī iekļauts 12 jautājumu noslēguma pārbaudes darbs, lai nokārtotu 80%. Pievienojiet tiešsaistes kursam viltotas koda mitināšanas pieteikšanās lapas piemēru. Jūsu SOC triažē to, ko izstrādātāji ziņo: skatiet mūsu SOC analītiķu apmācību saraksts.
Paroles, piekļuves atslēgas un daudzfaktoru autentifikācija darbiniekiem
Izstrādātāju konti aizsargā kodu un kanālus, tāpēc tiem ir nepieciešama spēcīga autentifikācija. Šajā 30 minūšu kursā ir aplūkoti jautājumi par to, kāpēc konti ir mērķis, spēcīgas un unikālas pieteikšanās, daudzfaktoru un piekļuves atslēgas, viltotas pieteikšanās lapas un pelēkās zonas koplietošanas, saīsnes un atkopšanas jomā. Vērtēšanas skala par to, "cik jūsu kontu izmanto daudzfaktoru autentifikāciju?", sāk godīgu sarunu.
Sociālā inženierija, krāpšana un dziļviltojumi: telefona, maksājumu un personības uzdošanās krāpniecība
Personas identitātes krāpniecības ir vērstas pret inženieriem, kuri var apstiprināt piekļuvi vai izvietošanu. Šis 35 minūšu kurss seko pārliecinošam pieprasījumam, aptver taktiku, verifikāciju ar zināmu numuru, viltotu balsi un video, kā arī to, kāpēc darba stāžs un slepenība ir spiediens, nevis pierādījums. Scenārijs "vai jūs piešķirtu šo piekļuvi?" darbojas kā atbildes izvēles kārta.
Mūsu izvēle: Paroles, piekļuves atslēgas un daudzfaktoru autentifikācija darbiniekiem. Viens nozagts izstrādātāja pieteikšanās vārds var sasniegt visu cauruļvadu, un piekļuves atslēgas ir izturīgas pret pikšķerēšanu, tāpēc nozagta parole vien to vairs neatver.
Kā ieviest plānu
Sāciet tur, kur trūkumi ir visizplatītākie. Ar bojātu piekļuves kontroli, kas atrodama katrā lietojumprogrammā ir pārbaudīti OWASP dati, savienojiet drošās kodēšanas kursus ar atkārtošanas paradumiem, nevis tikai ar slaidiem.
- Jauna izstrādātāja pirmajā nedēļā: drošības izpratnes pamati, paroles, piekļuves atslēgas un daudzfaktoru autentifikācija (MFA), datu klasifikācija un platformas ieviešanas kurss, ja jūsu komanda to izmanto.
- Pirmā mēneša laikā: droša mākslīgā intelekta atbalstīta izstrāde, mākslīgā intelekta drošība ikvienam un atmiņas drošības vai vienlaicības kurss valodām, kuras izmanto jūsu komanda.
- Katru gadu: atkārtojuma tests katrā kursā, kā arī mākslīgā intelekta kursi ikreiz, kad tiek apstiprināts jauns asistents vai aģents.
- Kad tas ir piemērojams: Ja jūsu finanšu iestāde ir iekļauta šajā sarakstā, regulāri atjauniniet drošības izpratnes apmācību, kā aprakstīts FTC drošības noteikumos, un jautājiet savam advokātam, kas vēl attiecas uz jūsu valsti vai štatu.
Veidi, kā vadīt šos kursus AhaSlides
Jebkuru no šiem kursiem var veidot kā patstāvīgu kursu ar AhaSlides kursa veidotājs, palaidiet tos kā tiešraides jautājumu un atbilžu sesiju vai abus, ar aptauju pēc kursa un 30 dienu pārbaudi, lai redzētu, kas ir mainījies.
- Izvēlieties atbildi: Parādi koda fragmentu no kursa un pajautā, kādu trūkumu tas slēpj.
- Vārdu mākonis: uzdodiet jautājumu "Ko jūs pārbaudāt pirms asistenta rakstītā koda apvienošanas?" un salīdziniet atbildes ar drošo mākslīgā intelekta kodēšanas ciklu.
- Vērtēšanas skala: pirms un pēc tam pajautājiet no 1 līdz 5: "Cik pārliecināts jūs esat, ka pārskatā pamanāt sacensību nosacījumus?".
- Atvērts: apkopot anonīmus gandrīz notikušus sitienus no pēdējā sprinta tiešraides sesijas beigās.
FAQ
Kādas drošības apmācības ir nepieciešamas izstrādātājiem?
Izstrādātājiem ir nepieciešama droša kodēšana, atkarību un noslēpumu apstrāde, kā arī AI kodēšanas rīku droša lietošana. Iepriekš minētie kursi aptver šīs jomas, kā arī katram darbiniekam nepieciešamos pamatzināšanas.
Vai mākslīgā intelekta ģenerēts kods ir drošs?
Ne pēc noklusējuma. Tam nepieciešama tāda pati pārskatīšana, testēšana un skenēšana kā jebkuram citam kodam, kā arī pārbaude, vai katra ieteiktā pakotne pastāv un ir apstiprināta.
Kas ir atmiņas drošība?
Atmiņas drošība ir tādu kļūdu kā bufera pārpildes un "use after free" novēršana, ko uzbrucēji izmanto. Lai to panāktu, C un C++ ir nepieciešami noteikumi un statiskā analīze.
Cik bieži izstrādātājiem vajadzētu atkārtoti apmācīties drošības jautājumos?
Reizi gadā, ar īsiem atjauninājumiem, ja mainās ietvari, rīki vai apdraudējumi.
Šī ziņa ir vispārīga informācija, nevis juridiska konsultācija. Lai pieņemtu lēmumu par savu darba vietu, konsultējieties ar kvalificētu juristu vai regulatoru.
