Disemak terakhir pada 4 November 2026 berdasarkan sumber yang dipautkan dalam siaran ini.
Permintaan tarik kelihatan kemas. Pembantu pengekodan menulis kebanyakannya, ujian lulus, dan ia menambah pustaka yang belum pernah didengari oleh sesiapa pun dalam pasukan. Gabungkannya, dan anda boleh menghantar pakej yang tidak wujud minggu lepas atau titik akhir yang melangkau pemeriksaan akses. Itulah jurang latihan keselamatan untuk pembangun yang perlu ditutup. Top 10:2025 OWASP mengutamakan kawalan akses yang rosak dan melaporkan bahawa 100% aplikasi yang diuji mempunyai beberapa bentuk kawalan akses yang rosak.
Senarai ini adalah untuk pengurus kejuruteraan dan juara keselamatan. Anda mendapat 10 kursus siap sedia dalam 3 kumpulan, apa yang setiap satu perlu diperbaiki dan cara melancarkannya. Setiap kumpulan diakhiri dengan Pilih kamiSatu perkara perundangan yang diterangkan ialah peraturan persekutuan AS, jadi gunakan ini sebagai sukatan pelajaran, bukan keputusan.
Sekilas pandang ke semua 10 kursus
| Jenis Sajian | Apa yang terkandung di dalamnya | Panjang | Undang-undang di sebaliknya? |
|---|---|---|---|
| Pembangunan perisian berbantukan AI yang selamat | Pembantu pengekodan, ejen dan gelung pengekodan AI yang selamat | 45 min | Tidak |
| C dan C++ yang selamat untuk memori mengikut piawaian CERT dan MISRA | Jangka hayat, petunjuk, kelemahan biasa dan analisis statik | 45 min | Tidak |
| Keselamatan serentak | Benang, kunci, keadaan perlumbaan dan kebuntuan | 40 min | Tidak |
| Penyertaan pembangun platform perusahaan | Perubahan selamat pertama, sambungan dan kawalan perubahan | 45 min | Tidak |
| Pengelasan & pengendalian data | Tahap, penyimpanan, perkongsian dan pelupusan data | 25 min | Tidak |
| Keselamatan AI untuk semua orang | Shadow AI, suntikan segera dan pakej kod yang tidak diketahui | 30 min | Tidak |
| Keperluan kesedaran keselamatan | Peringkat-peringkat serangan dan tabiat teras | 35 min | Ya (institusi kewangan yang dilindungi AS) |
| Pancingan data & kejuruteraan sosial | Bendera merah, pengesahan dan pelaporan | 30 min | Tidak |
| Kata laluan, kunci laluan dan pengesahan berbilang faktor | Daftar masuk selamat, MFA, kunci laluan dan pemulihan | 30 min | Tidak |
| Kejuruteraan sosial, penipuan dan deepfake | Penipuan telefon, pembayaran dan penyamaran | 35 min | Tidak |
Hanya kursus kesedaran keselamatan yang berlandaskan peraturan persekutuan AS, dan hanya untuk sesetengah organisasi: Peraturan Perlindungan FTC menyatakan institusi kewangan yang dilindungi mesti menyediakan latihan kesedaran keselamatan kepada kakitangan merekaIa tidak menetapkan hala tuju untuk orang lain.
Pembangunan yang selamat dan terjamin
Pembangunan perisian berbantukan AI yang selamat: pembantu dan ejen pengekodan tanpa risiko
Kursus 45 minit ini dimulakan dengan pakej halusinasi yang menjadi serangan, kemudian merangkumi enam cara pembantu dan ejen pengekodan gagal, gelung pengekodan AI yang selamat (gesa, periksa, uji, dedahkan), kawasan kelabu data pelanggan, arahan shell dan permintaan tarik yang belum diuji, dan alat yang diluluskan dengan label penggunaan AI pada permintaan tarik. Ia diakhiri dengan semakan akhir 12 soalan pada 80% untuk lulus. Pusingan "kesan kecacatan" berfungsi dengan baik sebagai slaid Pilih Jawapan. Untuk bahagian ulasan, lihat panduan kami untuk latihan semakan kod yang dijana AI.
C dan C++ yang selamat untuk memori mengikut piawaian CERT dan MISRA
Kecacatan keselamatan memori merupakan kelas kerentanan yang terkenal dalam C dan C++. Kursus selama 45 minit ini bermula dengan ranap sistem daripada satu penunjuk yang sesat, kemudian merangkumi tindanan, timbunan dan jangka hayat, penunjuk dan tatasusunan, kelemahan biasa seperti penggunaan selepas percuma, peraturan pengekodan dalam amalan dan analisis statik dalam semakan. Soalan "namakan kelemahan" ialah pusingan Pilih Jawapan semula jadi untuk sesi semakan kod pasukan.
Keselamatan serentak: benang, kunci dan keadaan perlumbaan
Keadaan perlumbaan menyebabkan pepijat yang lulus setiap ujian sehingga pengeluaran. Kursus 40 minit ini mengikuti kaunter yang salah setiap larian kesepuluh, kemudian merangkumi thread, proses dan asinkron, kunci, mutex dan semaphore, keadaan perlumbaan dan kebuntuan, corak mengikut bahasa dan senarai semakan. Senario "pilih alat", mutex atau semaphore, memberikan pembangun bahagian belakang semakan pantas tentang apa yang mereka tahu.
Penyertaan pembangun platform perusahaan: perubahan selamat pertama anda kepada platform perniagaan
Pembangun baharu pada platform perniagaan yang boleh dikonfigurasikan selalunya memecahkan masalah dengan perubahan pertama mereka. Kursus 45 minit ini merangkumi perubahan pertama pada konfigurasi langsung, konsep platform, laporan dan pemprosesan, sambungan dan repositori konfigurasi, kawalan perubahan dan penulisan nota serahan. Gunakannya pada minggu pertama pemula baharu, sebelum mereka menyentuh objek vendor.
Pilihan kami: Pembangunan perisian berbantukan AI yang selamat. Banyak pasukan kini menghantar kod bertulis pembantu, dan kursus ini memberi mereka satu gelung untuk diikuti sebelum mereka menggabungkannya.
Keselamatan alat data dan AI
Pengelasan & pengendalian data
Pembangun menyalin data pengeluaran ke dalam sistem ujian dan berkongsi log dalam sembang. Kursus 25 minit ini merangkumi sebab pengelasan wujud, tahap syarikat, apa yang dibenarkan dan tidak dibenarkan apabila anda melabel, menyimpan, berkongsi dan melupuskan data, tanda amaran dan cara untuk meningkatkannya. Ia diakhiri dengan semakan akhir 10 soalan pada 80% untuk lulus. "Di manakah data Sulit harus disimpan?" menghasilkan soalan Pilih Jawapan yang pantas.
Keselamatan AI untuk semua orang: AI bayangan, suntikan segera dan output yang dimanipulasi
Suntikan segera dan pakej kod yang tidak diketahui memberi kesan langsung kepada pembantu pengekodan. Kursus 30 minit ini merangkumi AI bayangan dan bot sembang yang terjejas, suntikan segera dan kandungan yang diracuni, arahan tersembunyi dalam PDF dan e-mel, sambungan AI percuma dan pakej kod yang tidak diketahui, dan cara melaporkan insiden atau meminta alat yang diluluskan. Word Cloud tentang "alat AI yang manakah terdapat dalam editor anda hari ini?" menunjukkan perkara yang perlu diliputi oleh dasar anda.
Pilihan kami: Pengelasan & pengendalian data. Jejak tindanan yang ditampal ke dalam chatbot merupakan kebocoran data dan kursus pendek ini menjelaskan tahap sebelum ia berlaku.
Pertahanan akaun dan pancingan data
Keperluan kesedaran keselamatan
Pembangun menyimpan kod sumber, rahsia dan akses saluran paip, jadi garis dasar lebih penting bagi mereka. Kursus selama 35 minit ini merangkumi sebab orang ramai disasarkan, anatomi serangan, tanda amaran, cara melindungi diri anda dan cara bertindak balas dan melaporkan, dengan semakan akhir 12 soalan pada 80% untuk lulus. Bagi institusi kewangan yang dilindungi, ia merupakan cara sedia ada untuk memenuhi keperluan latihan kesedaran keselamatan Peraturan Perlindungan FTC, walaupun peraturan tersebut tidak menamakan sebarang kursus.
Pancingan data & kejuruteraan sosial
Pembangun di-phishing untuk mendapatkan kelayakan repositori dan awan. Kursus 30 minit ini menerangkan cara serangan dibina, tanda amaran, cara melindungi diri anda dan cara melaporkan, dengan semakan akhir 12 soalan pada 80% untuk lulus. Tambahkan contoh halaman log masuk pengehosan kod palsu pada dek langsung. SOC anda menilai apa yang dilaporkan oleh pembangun: lihat senarai latihan penganalisis SOC kami.
Kata laluan, kunci laluan dan pengesahan berbilang faktor untuk kakitangan
Akaun pembangun melindungi kod dan saluran paip, jadi ia memerlukan pengesahan yang kukuh. Kursus 30 minit ini merangkumi sebab akaun menjadi sasaran, log masuk yang kukuh dan unik, berbilang faktor dan kunci laluan, halaman log masuk palsu dan kawasan kelabu perkongsian, pintasan dan pemulihan. Skala Penilaian tentang "berapa banyak akaun anda yang menggunakan MFA?" memulakan perbualan yang jujur.
Kejuruteraan sosial, penipuan dan deepfake: penipuan telefon, pembayaran dan penyamaran
Penipuan penyamaran menyasarkan jurutera yang boleh meluluskan akses atau penggunaan. Kursus selama 35 minit ini mengikuti permintaan yang meyakinkan, merangkumi taktik, pengesahan oleh nombor yang diketahui, suara dan video palsu, dan mengapa kekananan dan kerahsiaan adalah tekanan, bukan bukti. Senario "adakah anda akan memberikan akses ini?" berfungsi sebagai pusingan Pilih Jawapan.
Pilihan kami: Kata laluan, kunci laluan dan pengesahan berbilang faktor untuk kakitangan. Satu log masuk pembangun yang dicuri boleh mencapai keseluruhan saluran paip dan kunci laluan menahan pancingan data, jadi kata laluan yang dicuri sahaja tidak lagi dapat membukanya.
Cara melancarkan rancangan itu
Mulakan di tempat kecacatan paling biasa. Dengan kawalan akses yang rosak yang terdapat di setiap data aplikasi OWASP diuji, gandingkan kursus pengekodan selamat dengan tabiat ulasan, bukan slaid sahaja.
- Dalam minggu pertama pembangun baharu: keperluan kesedaran keselamatan, kata laluan, kunci laluan dan MFA, pengelasan data dan kursus onboarding platform jika pasukan anda membinanya berdasarkannya.
- Dalam bulan pertama: pembangunan bantuan AI yang selamat, keselamatan AI untuk semua orang dan kursus keselamatan memori atau keserentakan untuk bahasa yang digunakan oleh pasukan anda.
- Setiap tahun: kuiz ulangkaji untuk setiap kursus, serta kursus AI apabila pembantu atau ejen baharu diluluskan.
- Apabila ia terpakai: Jika anda merupakan institusi kewangan yang dilindungi, pastikan latihan kesedaran keselamatan terkini seperti yang diterangkan dalam Peraturan Perlindungan FTC, dan tanya peguam anda apa lagi yang terpakai di negara atau negeri anda.
Cara-cara untuk menjalankan kursus-kursus ini AhaSlides
Anda boleh membina mana-mana daripada ini sebagai kursus kendiri dengan AhaSlides pencipta kursus, jalankannya sebagai dek sesi Soal Jawab langsung atau kedua-duanya, dengan tinjauan pasca kursus dan daftar masuk 30 hari untuk melihat apa yang berubah.
- Pilih Jawapan: tunjukkan petikan kod daripada kursus dan tanyakan kelemahan yang disembunyikannya.
- Awan Perkataan: tanya "Apakah yang anda semak sebelum anda menggabungkan kod yang ditulis oleh pembantu?" dan bandingkan jawapan dengan gelung pengekodan AI yang selamat.
- Skala Penilaian: sebelum dan selepas, tanya "Sejauh manakah anda yakin melihat keadaan perlumbaan dalam ulasan?" dari 1 hingga 5.
- Terbuka Berakhir: kumpulkan hampir terlepas tanpa nama daripada pecutan terakhir pada akhir sesi langsung.
Soalan Lazim
Apakah latihan keselamatan yang diperlukan oleh pembangun?
Pembangun memerlukan pengekodan yang selamat, pengendalian kebergantungan dan rahsia, serta penggunaan alat pengekodan AI yang selamat. Kursus di atas merangkumi perkara tersebut, serta asas kesedaran yang diperlukan oleh setiap pekerja.
Adakah kod yang dijana AI selamat?
Bukan secara lalai. Ia memerlukan semakan, pengujian dan pengimbasan yang sama seperti kod lain, dan pemeriksaan bahawa setiap pakej yang dicadangkan wujud dan diluluskan.
Apakah keselamatan ingatan?
Keselamatan memori adalah pencegahan ralat seperti limpahan penimbal dan penggunaan selepas percuma yang dieksploitasi oleh penyerang. C dan C++ memerlukan peraturan dan analisis statik untuk sampai ke sana.
Berapa kerapkah pembangun perlu melatih semula tentang keselamatan?
Sekali setahun, dengan kemas kini ringkas apabila rangka kerja, alatan atau ancaman berubah.
Catatan ini adalah maklumat umum, bukan nasihat undang-undang. Untuk keputusan tentang tempat kerja anda sendiri, berbincanglah dengan peguam yang berkelayakan atau pengawal selia.
