Ostatnia aktualizacja: 4 listopada 2026 r. w oparciu o źródła podane w tym poście.
Pull request wygląda schludnie. Asystent programisty napisał większość, testy przechodzą, a biblioteka, o której nikt w zespole nie słyszał, zostaje dodana. Po scaleniu możesz wysłać pakiet, który nie istniał w zeszłym tygodniu, lub punkt końcowy, który pomija kontrolę dostępu. To luka, którą szkolenie z bezpieczeństwa dla programistów musi wypełnić. Raport OWASP Top 10:2025 stawia na pierwszym miejscu wadliwą kontrolę dostępu i informuje, że 100% przetestowanych aplikacji miało jakąś formę uszkodzonej kontroli dostępu.
Ta lista jest przeznaczona dla menedżerów inżynierii i ekspertów ds. bezpieczeństwa. Otrzymasz 10 gotowych kursów w 3 grupach, z informacjami o tym, co każdy z nich naprawia i jak to wdrożyć. Każda grupa kończy się… Nasz wybórJedyny punkt prawny opisuje przepis federalny USA, więc traktuj go jako konspekt, a nie orzeczenie.
Wszystkie 10 kursów w skrócie
| Kurs | Co obejmuje | Długość | Jakie prawo za tym stoi? |
|---|---|---|---|
| Bezpieczne tworzenie oprogramowania wspomagane sztuczną inteligencją | Asystenci kodowania, agenci i bezpieczna pętla kodowania AI | 45 min | Nie |
| Bezpieczne dla pamięci języki C i C++ zgodne ze standardami CERT i MISRA | Czasy życia, wskaźniki, typowe wady i analiza statyczna | 45 min | Nie |
| Bezpieczeństwo współbieżności | Wątki, blokady, wyścigi i impas | 40 min | Nie |
| Wdrażanie programistów platform korporacyjnych | Pierwsza bezpieczna zmiana, rozszerzenia i kontrola zmian | 45 min | Nie |
| Klasyfikacja i przetwarzanie danych | Poziomy, przechowywanie, udostępnianie i usuwanie danych | 25 min | Nie |
| Bezpieczeństwo AI dla każdego | Shadow AI, szybkie wstrzykiwanie i pakiety nieznanego kodu | 30 min | Nie |
| Podstawy świadomości bezpieczeństwa | Etapy ataku i podstawowe nawyki | 35 min | Tak (instytucje finansowe objęte zasięgiem USA) |
| Phishing i inżynieria społeczna | Czerwone flagi, weryfikacja i raportowanie | 30 min | Nie |
| Hasła, klucze dostępu i uwierzytelnianie wieloskładnikowe | Bezpieczne logowanie, uwierzytelnianie wieloskładnikowe, klucze dostępu i odzyskiwanie | 30 min | Nie |
| Inżynieria społeczna, oszustwa i deepfake’i | Oszustwa telefoniczne, płatnicze i podszywanie się pod kogoś innego | 35 min | Nie |
Tylko kurs dotyczący świadomości bezpieczeństwa opiera się na przepisach federalnych USA i dotyczy tylko niektórych organizacji: przepisy FTC dotyczące zabezpieczeń stanowią, że objęte nimi instytucje finansowe muszą zapewnić szkolenia dla personelu w zakresie świadomości bezpieczeństwa. Nie wyznacza kursu dla wszystkich innych.
Bezpieczny i pewny rozwój
Bezpieczne tworzenie oprogramowania wspomagane sztuczną inteligencją: kodowanie asystentów i agentów bez ryzyka
Ten 45-minutowy kurs rozpoczyna się od halucynacji pakietowej, która staje się atakiem, a następnie omawia sześć sposobów, w jakie asystenci i agenci kodują, bezpieczną pętlę kodowania AI (monit, inspekcja, testowanie, ujawnianie), szare obszary danych klientów, polecenia powłoki i nieprzetestowane żądania ściągnięcia (pull request) oraz zatwierdzone narzędzia z etykietami AI w żądaniach ściągnięcia. Kurs kończy się 12-pytaniowym sprawdzianem końcowym, którego wynik wynosi 80%. Runda „znajdź błąd” dobrze sprawdza się jako slajd z odpowiedziami. Aby zapoznać się z częścią dotyczącą przeglądu, zobacz nasz przewodnik po szkoleniu z zakresu przeglądu kodu generowanego przez sztuczną inteligencję.
Bezpieczne dla pamięci języki C i C++ zgodne ze standardami CERT i MISRA
Luki w zabezpieczeniach pamięci to dobrze znana klasa luk w zabezpieczeniach w językach C i C++. Ten 45-minutowy kurs rozpoczyna się od awarii spowodowanej przez jeden zabłąkany wskaźnik, a następnie omawia stos, stertę i czasy życia, wskaźniki i tablice, typowe błędy, takie jak użycie po zwolnieniu, zasady kodowania w praktyce oraz analizę statyczną w przeglądzie. Pytanie „nazwij błąd” to naturalna runda wyboru odpowiedzi w zespołowej sesji przeglądu kodu.
Bezpieczeństwo współbieżności: wątki, blokady i wyścigi
Warunki wyścigu powodują błędy, które przechodzą każdy test aż do produkcji. Ten 40-minutowy kurs śledzi licznik, który co dziesiąte uruchomienie był błędny, a następnie omawia wątki, procesy i asynchroniczność, blokady, muteksy i semafory, warunki wyścigu i impas, wzorce w zależności od języka oraz listę kontrolną przeglądu. Scenariusz „wybierz narzędzie”, muteks lub semafor, pozwala programistom back-end szybko sprawdzić swoją wiedzę.
Wdrażanie programistów platform korporacyjnych: Twoja pierwsza bezpieczna zmiana platformy biznesowej
Nowi programiści na konfigurowalnej platformie biznesowej często psują wszystko swoją pierwszą zmianą. Ten 45-minutowy kurs obejmuje pierwszą zmianę w konfiguracji produkcyjnej, koncepcje platformy, raporty i przetwarzanie, rozszerzenia i repozytorium konfiguracji, kontrolę zmian oraz pisanie notatki przekazania. Wykorzystaj go w pierwszym tygodniu pracy nowego pracownika, zanim zacznie on korzystać z obiektu dostawcy.
Nasz wybór: bezpieczne tworzenie oprogramowania wspomagane sztuczną inteligencją. Wiele zespołów tworzy obecnie kod napisany przez asystentów, a ten kurs przedstawia im jedną pętlę, którą muszą wykonać przed scaleniem kodów.
Bezpieczeństwo danych i narzędzi AI
Klasyfikacja i przetwarzanie danych
Programiści kopiują dane produkcyjne do systemów testowych i udostępniają logi na czacie. Ten 25-minutowy kurs obejmuje zagadnienia związane z istnieniem klasyfikacji, poziomami w firmie, dozwolonymi i niedozwolonymi metodami etykietowania, przechowywania, udostępniania i usuwania danych, sygnałami ostrzegawczymi oraz sposobami eskalacji. Kurs kończy się 10-pytaniowym testem końcowym, którego wynik wynosi 80%. „Gdzie powinny być przechowywane poufne dane?” to szybkie pytanie z odpowiedzią.
Bezpieczeństwo sztucznej inteligencji dla każdego: ukryta sztuczna inteligencja, szybkie wstrzykiwanie i manipulowanie wynikami
Wstrzykiwanie podsłuchów i pakiety nieznanego kodu mają bezpośredni wpływ na asystentów kodowania. Ten 30-minutowy kurs obejmuje zagadnienia związane z ukrytą sztuczną inteligencją i zainfekowanym chatbotem, wstrzykiwanie podsłuchów i zatrutą zawartość, ukryte instrukcje w plikach PDF i e-mailach, darmowe rozszerzenia sztucznej inteligencji i pakiety nieznanego kodu, a także sposoby zgłaszania incydentów i wnioskowania o zatwierdzone narzędzie. Chmura słów na temat „jakie narzędzia sztucznej inteligencji są obecnie dostępne w Twoim edytorze?” pokazuje, co musi obejmować Twoja polityka.
Nasz wybór: Klasyfikacja i przetwarzanie danych. Ślad stosu wklejony do chatbota to wyciek danych, a ten krótki kurs wyjaśnia poziomy zagrożenia, zanim do niego dojdzie.
Obrona konta i ochrona przed phishingiem
Podstawy świadomości bezpieczeństwa
Programiści posiadają kod źródłowy, poufne informacje i dostęp do potoku, więc dla nich punkt odniesienia ma większe znaczenie. Ten 35-minutowy kurs obejmuje zagadnienia związane z tym, dlaczego ludzie padają ofiarą ataku, anatomię ataku, sygnały ostrzegawcze, sposoby ochrony oraz reagowania i zgłaszania incydentów. Na koniec, z 12-pytaniowym testem końcowym, wymagany jest wynik 80%. Dla objętych nim instytucji finansowych jest to gotowy sposób na spełnienie wymogu szkolenia w zakresie świadomości bezpieczeństwa wynikającego z przepisów FTC Safeguards Rule, choć w przepisie nie wymieniono żadnego kursu.
Phishing i inżynieria społeczna
Deweloperzy padają ofiarą phishingu, czyli wyłudzania danych uwierzytelniających do repozytoriów i chmury. Ten 30-minutowy kurs wyjaśnia, jak powstają ataki, jakie są sygnały ostrzegawcze, jak się przed nimi chronić i jak zgłaszać ataki. Na koniec, z 12-pytaniowym testem końcowym, trzeba uzyskać 80% odpowiedzi. Dodaj przykład fałszywej strony logowania do hostingu kodu do prezentacji na żywo. Twój SOC analizuje zgłoszenia deweloperów: zobacz nasza lista szkoleń dla analityków SOC.
Hasła, klucze dostępu i uwierzytelnianie wieloskładnikowe dla personelu
Konta programistów chronią kod i potoki, dlatego potrzebują silnego uwierzytelniania. Ten 30-minutowy kurs omawia, dlaczego konta są celem ataków, silne i unikalne logowania, uwierzytelnianie wieloskładnikowe i klucze dostępu, fałszywe strony logowania oraz szare obszary udostępniania, skrótów i odzyskiwania. Skala ocen „ile Twoich kont korzysta z uwierzytelniania wieloskładnikowego?” rozpoczyna szczerą rozmowę.
Inżynieria społeczna, oszustwa i deepfake: oszustwa telefoniczne, płatnicze i podszywające się pod kogoś innego
Oszustwa podszywające się pod inżynierów są wymierzone w osoby, które mogą zatwierdzać dostęp lub wdrażać oprogramowanie. Ten 35-minutowy kurs opiera się na przekonującej prośbie, omawia taktyki, weryfikację znanym numerem, sfałszowany głos i wideo oraz wyjaśnia, dlaczego staż pracy i poufność to nacisk, a nie dowód. Scenariusz „czy udzieliłbyś/udzieliłabyś tego dostępu?” działa jak runda „Wybierz odpowiedź”.
Nasz wybór: hasła, klucze dostępu i uwierzytelnianie wieloskładnikowe dla personelu. Jedno skradzione dane logowania programisty mogą objąć cały proces, a klucze dostępu są odporne na phishing, więc samo skradzione hasło nie otworzy go.
Jak wdrożyć plan
Zacznij tam, gdzie wady występują najczęściej. Z uszkodzoną kontrolą dostępu, którą znajdziesz w każda aplikacja przetestowana pod kątem danych OWASP, połącz bezpieczne kursy kodowania z nawykami powtórkowymi, a nie tylko ze slajdami.
- W pierwszym tygodniu pracy nowego programisty: podstawy świadomości bezpieczeństwa, hasła, klucze dostępu i uwierzytelnianie wieloskładnikowe, klasyfikacja danych oraz kurs wprowadzający do platformy, jeśli Twój zespół taki kurs opracuje.
- W ciągu pierwszego miesiąca: bezpieczne wspomaganie rozwoju AI, bezpieczeństwo AI dla każdego oraz kurs bezpieczeństwa pamięci lub współbieżności dla języków, których używa Twój zespół.
- Każdego roku: quiz przypominający z każdego kursu, a także kursy dotyczące sztucznej inteligencji za każdym razem, gdy zatwierdzono kandydaturę nowego asystenta lub agenta.
- Kiedy ma zastosowanie: jeśli jesteś instytucją finansową objętą przepisami, aktualizuj szkolenia dotyczące świadomości bezpieczeństwa zgodnie z opisem w Zasadach Zabezpieczeń FTC i zapytaj swojego prawnika, jakie inne kwestie mają zastosowanie w Twoim kraju lub stanie.
Sposoby prowadzenia tych kursów AhaSlides
Możesz utworzyć dowolny z nich jako kurs w swoim tempie, korzystając z AhaSlides twórca kursu, przeprowadź je w formie sesji pytań i odpowiedzi na żywo lub skorzystaj z obu tych opcji, z ankietą po kursie i 30-dniowym podsumowaniem, aby zobaczyć, co się zmieniło.
- Wybierz odpowiedź: pokaż fragment kodu z kursu i zapytaj, jaką wadę ukrywa.
- Chmura słów: zapytaj „Co sprawdzasz przed scaleniem kodu napisanego przez asystenta?” i porównaj odpowiedzi z bezpieczną pętlą kodowania sztucznej inteligencji.
- Skala ocen: przed i po zadaj pytanie „Jak pewnie dostrzegasz warunek wyścigu podczas przeglądu?”, skalując je od 1 do 5.
- Otwarte: zbieraj anonimowe informacje o niemalże nieudanych próbach z ostatniego sprintu na koniec sesji na żywo.
FAQ
Jakie szkolenia z zakresu bezpieczeństwa są potrzebne programistom?
Programiści potrzebują bezpiecznego kodowania, obsługi zależności i sekretów oraz bezpiecznego korzystania z narzędzi do kodowania AI. Powyższe kursy obejmują te zagadnienia, a także podstawowe zagadnienia, których potrzebuje każdy pracownik.
Czy kod generowany przez sztuczną inteligencję jest bezpieczny?
Nie domyślnie. Wymaga takiej samej weryfikacji, testowania i skanowania jak każdy inny kod, a także sprawdzenia, czy każdy sugerowany pakiet istnieje i został zatwierdzony.
Czym jest bezpieczeństwo pamięci?
Bezpieczeństwo pamięci polega na zapobieganiu błędom, takim jak przepełnienie bufora i użycie po zwolnieniu (use after free), które wykorzystują atakujący. Języki C i C++ potrzebują reguł i analizy statycznej, aby to osiągnąć.
Jak często programiści powinni przechodzić ponowne szkolenia z zakresu bezpieczeństwa?
Raz w roku, z krótkimi aktualizacjami w przypadku zmiany ram, narzędzi lub zagrożeń.
Ten post zawiera ogólne informacje, a nie porady prawne. Aby podjąć decyzję dotyczącą własnego miejsca pracy, skonsultuj się z wykwalifikowanym prawnikiem lub organem regulacyjnym.
