Huling sinuri noong 4 Nobyembre 2026 laban sa mga sangguniang naka-link sa post na ito.
Mukhang maayos ang pull request. Karamihan ay isinulat ng coding assistant, pumasa ang mga pagsubok, at nagdadagdag ito ng library na hindi pa naririnig ng sinuman sa team. I-merge ito, at maaari kang magpadala ng package na wala noong nakaraang linggo o isang endpoint na lumalaktaw sa isang access check. Iyan ang puwang na kailangang tapusin ng security training para sa mga developer. Inuna ng Top 10:2025 ng OWASP ang sirang access control at iniulat na 100% ng mga application na sinubukan ay may ilang uri ng sirang access control.
Ang listahang ito ay para sa mga engineering manager at security champion. Makakakuha ka ng 10 handa nang kurso sa 3 grupo, kung ano ang mga solusyon sa bawat isa at kung paano ito ilulunsad. Ang bawat grupo ay nagtatapos sa isang Ang aming pumiliAng isang legal na punto ay naglalarawan sa isang pederal na tuntunin ng US, kaya gamitin ito bilang isang syllabus, hindi isang desisyon.
Lahat ng 10 kurso sa isang sulyap
| Kurso | Kung ano ang sakop nito | Haba | Batas sa likod nito? |
|---|---|---|---|
| Ligtas na pagbuo ng software na tinutulungan ng AI | Mga coding assistant, ahente at ang ligtas na AI coding loop | 45 min | Hindi |
| Ligtas sa memorya na C at C++ ayon sa mga pamantayan ng CERT at MISRA | Mga habang-buhay, mga payo, mga karaniwang depekto at static na pagsusuri | 45 min | Hindi |
| Kaligtasan ng sabay-sabay na pera | Mga sinulid, kandado, kondisyon ng karera at deadlock | 40 min | Hindi |
| Pagsasanay sa developer ng platform ng negosyo | Isang unang ligtas na pagbabago, mga extension at kontrol sa pagbabago | 45 min | Hindi |
| Pag-uuri at paghawak ng datos | Mga Antas, Pag-iimbak, Pagbabahagi at Pagtatapon ng Data | 25 min | Hindi |
| Seguridad ng AI para sa lahat | Shadow AI, prompt injection at mga hindi kilalang code package | 30 min | Hindi |
| Mga mahahalagang bagay tungkol sa kamalayan sa seguridad | Ang mga yugto ng isang pag-atake at mga pangunahing gawi | 35 min | Oo (mga institusyong pinansyal na sakop ng US) |
| Phishing at social engineering | Mga pulang bandila, beripikasyon at pag-uulat | 30 min | Hindi |
| Mga password, passkey at multi-factor authentication | Mga ligtas na pag-sign-in, MFA, mga passkey at pagbawi | 30 min | Hindi |
| Social engineering, pandaraya at mga deepfake | Mga panloloko sa telepono, pagbabayad, at panggagaya | 35 min | Hindi |
Tanging ang kurso tungkol sa kamalayan sa seguridad ang nakabatay sa pederal na tuntunin ng US, at para lamang sa ilang organisasyon: nakasaad sa FTC Safeguards Rule na ang mga sakop na institusyong pinansyal ay dapat magbigay ng pagsasanay sa kamalayan sa seguridad para sa kanilang mga tauhanHindi ito nagtatakda ng landas para sa lahat.
Ligtas at ligtas na pag-unlad
Ligtas na pagbuo ng software na tinutulungan ng AI: mga coding assistant at ahente nang walang panganib
Ang 45-minutong kursong ito ay nagsisimula sa isang halusinasyon na pakete na nagiging isang pag-atake, pagkatapos ay sumasaklaw sa anim na paraan kung paano nabibigo ang mga coding assistant at ahente, ang secure AI coding loop (prompt, inspect, test, disclose), ang mga kulay abong bahagi ng data ng customer, mga utos ng shell at mga hindi pa nasusubukang pull request, at mga aprubadong tool na may mga label na ginagamit ng AI sa mga pull request. Nagtatapos ito sa isang 12-tanong na pangwakas na pagsusuri sa 80% upang makapasa. Ang round na "spot the flaw" ay mahusay na gumagana bilang isang slide ng Pick Answer. Para sa panig ng pagsusuri, tingnan ang ang aming gabay sa pagsasanay sa pagsusuri ng code na binuo ng AI.
Ligtas sa memorya na C at C++ ayon sa mga pamantayan ng CERT at MISRA
Ang mga depekto sa kaligtasan ng memorya ay isang kilalang uri ng kahinaan sa C at C++. Ang 45 minutong kursong ito ay nagsisimula sa isang pag-crash mula sa isang ligaw na pointer, pagkatapos ay sumasaklaw sa stack, heap at lifetimes, mga pointer at array, mga karaniwang depekto tulad ng use after free, mga panuntunan sa coding sa pagsasagawa at pagsusuri ng static analysis. Ang tanong na "pangalanan ang depekto" ay isang natural na round ng Pick Answer para sa isang sesyon ng pagsusuri ng code ng koponan.
Kaligtasan ng sabay-sabay na paggamit: mga sinulid, kandado, at mga kondisyon ng karera
Ang mga kondisyon ng karera ay nagdudulot ng mga bug na pumasa sa bawat pagsubok hanggang sa produksyon. Ang 40-minutong kursong ito ay sumusunod sa isang counter na mali bawat ikasampung pagtakbo, pagkatapos ay sumasaklaw sa mga thread, proseso at async, mga lock, mutex at semaphore, mga kondisyon ng karera at deadlock, mga pattern ayon sa wika at isang checklist ng pagsusuri. Ang senaryo na "piliin ang tool", mutex o semaphore, ay nagbibigay sa mga back-end developer ng isang mabilis na pagsusuri sa kanilang nalalaman.
Pag-onboard ng developer ng enterprise platform: ang iyong unang ligtas na pagbabago sa isang business platform
Kadalasang nababago ng mga bagong developer sa isang configurable business platform ang mga bagay-bagay sa kanilang unang pagbabago. Saklaw ng 45 minutong kursong ito ang unang pagbabago sa isang live configuration, mga konsepto ng platform, mga ulat at pagproseso, mga extension at ang configuration repository, pagkontrol sa pagbabago at pagsulat ng hand-over note. Gamitin ito sa unang linggo ng isang bagong starter, bago pa man nila hawakan ang isang vendor object.
Ang aming pinili: Ligtas na pagbuo ng software na tinutulungan ng AI. Maraming mga koponan ngayon ang nagpapadala ng code na isinulat ng assistant, at ang kursong ito ay nagbibigay sa kanila ng isang loop na dapat sundin bago nila ito pagsamahin.
Seguridad ng data at kagamitang AI
Pag-uuri at paghawak ng datos
Kinokopya ng mga developer ang datos ng produksyon papunta sa mga sistema ng pagsubok at ibinabahagi ang mga log sa chat. Tinatalakay ng 25 minutong kursong ito kung bakit umiiral ang klasipikasyon, ang mga antas ng kumpanya, kung ano ang pinapayagan at hindi pinapayagan kapag naglalagay ng label, nag-iimbak, nagbabahagi at nagtatapon ng datos, mga pulang bandila at kung paano idulog ang mga ito. Nagtatapos ito sa isang 10-tanong na pangwakas na pagsusuri sa 80% upang makapasa. Ang "Saan dapat iimbak ang Kumpidensyal na datos?" ay isang mabilis na tanong na Pumili ng Sagot.
Seguridad ng AI para sa lahat: shadow AI, prompt injection at manipulated outputs
Direktang nakakaapekto ang prompt injection at unknown code packages sa mga coding assistant. Saklaw ng 30 minutong kursong ito ang shadow AI at isang nakompromisong chatbot, prompt injection at poisoned content, mga nakatagong tagubilin sa mga PDF at email, mga libreng AI extension at unknown code package, at kung paano mag-ulat ng insidente o humiling ng aprubadong tool. Ipinapakita ng Word Cloud sa "aling mga AI tool ang nasa iyong editor ngayon?" kung ano ang kailangang saklawin ng iyong patakaran.
Ang aming pinili: Pag-uuri at pamamahala ng datos. Ang stack trace na idinikit sa isang chatbot ay isang pagtagas ng datos, at nililinaw ng maikling kursong ito ang mga level bago pa ito mangyari.
Depensa sa account at phishing
Mga mahahalagang bagay tungkol sa kamalayan sa seguridad
Hawak ng mga developer ang source code, mga sikreto, at access sa pipeline, kaya mas mahalaga para sa kanila ang baseline. Saklaw ng 35 minutong kursong ito kung bakit tinatarget ang mga tao, ang anatomiya ng isang pag-atake, mga babala, kung paano protektahan ang iyong sarili, at kung paano tumugon at mag-ulat, na may 12 tanong na pangwakas na pagsusuri sa 80% para makapasa. Para sa mga sakop na institusyong pinansyal, ito ay isang handa nang paraan upang matugunan ang kinakailangan sa pagsasanay sa kamalayan sa seguridad ng FTC Safeguards Rule, bagama't walang binabanggit na kurso ang patakaran.
Phishing at social engineering
Ang mga developer ay niraranggo para sa mga kredensyal sa repository at cloud. Ipinapaliwanag ng 30-minutong kursong ito kung paano binubuo ang mga pag-atake, ang mga pulang palatandaan, kung paano protektahan ang iyong sarili at kung paano mag-ulat, na may 12-tanong na pangwakas na pagsusuri sa 80% para makapasa. Magdagdag ng isang halimbawa ng isang pekeng pahina ng pag-sign-in sa pag-host ng code sa live deck. Sinusuri ng iyong SOC ang mga iniuulat ng mga developer: tingnan ang aming listahan ng pagsasanay para sa SOC analyst.
Mga password, passkey at multi-factor authentication para sa mga kawani
Pinoprotektahan ng mga developer account ang code at mga pipeline, kaya kailangan ng mga ito ng matibay na authentication. Tinatalakay ng 30 minutong kursong ito kung bakit ang mga account ang target, matibay at natatanging mga sign-in, multi-factor at passkey, pekeng mga sign-in page at ang mga kulay abong bahagi ng pagbabahagi, mga shortcut at recovery. Ang Rating Scale sa "ilan sa iyong mga account ang gumagamit ng MFA?" ay nagsisimula ng isang tapat na pag-uusap.
Social engineering, pandaraya at mga deepfake: mga panloloko sa telepono, pagbabayad at panggagaya
Tinatarget ng mga panggagaya na panloloko ang mga inhinyero na maaaring mag-apruba ng access o pag-deploy. Ang 35 minutong kursong ito ay sumusunod sa isang nakakakumbinsing kahilingan, sumasaklaw sa mga taktika, beripikasyon ng isang kilalang numero, pekeng boses at video, at kung bakit ang seniority at lihim ay pressure, hindi patunay. Ang senaryo na "ibibigay mo ba ang access na ito?" ay gumagana bilang isang Pick Answer round.
Ang aming pinili: Mga password, passkey at multi-factor authentication para sa mga kawani. Ang isang ninakaw na login ng developer ay maaaring makaabot sa buong pipeline, at ang mga passkey ay lumalaban sa phishing, kaya hindi na ito mabubuksan ng isang ninakaw na password lamang.
Paano ilunsad ang plano
Magsimula kung saan pinakakaraniwan ang mga depekto. Gamit ang sirang access control na matatagpuan sa Sinubukan ang datos ng bawat aplikasyon ng OWASP, ipares ang mga kurso sa secure coding sa mga gawi sa pagsusuri, hindi lamang sa mga slide.
- Sa unang linggo ng isang bagong developer: mga mahahalagang bagay tungkol sa kamalayan sa seguridad, mga password, passkey at MFA, klasipikasyon ng datos, at ang kurso sa onboarding ng platform kung bubuo ang iyong team dito.
- Sa loob ng unang buwan: ligtas na pag-develop na tinutulungan ng AI, seguridad ng AI para sa lahat, at ang memory-safety o concurrency course para sa mga wikang ginagamit ng iyong team.
- Bawat taon: isang refresher quiz sa bawat kurso, kasama ang mga kurso sa AI tuwing may naaprubahang bagong assistant o ahente.
- Kapag nalalapat ito: Kung ikaw ay isang sakop na institusyong pinansyal, panatilihing napapanahon ang pagsasanay sa kamalayan sa seguridad gaya ng inilalarawan ng FTC Safeguards Rule, at tanungin ang iyong abogado kung ano pa ang naaangkop sa iyong bansa o estado.
Mga paraan upang patakbuhin ang mga kursong ito AhaSlides
Maaari mong buuin ang alinman sa mga ito bilang isang kursong may sariling bilis gamit ang AhaSlides tagalikha ng kurso, patakbuhin ang mga ito bilang isang live na Q&A session deck, o pareho, na may kasamang post-course survey at 30-araw na check-in para makita kung ano ang nagbago.
- Pumili ng Sagot: magpakita ng snippet ng code mula sa kurso at itanong kung aling depekto ang itinatago nito.
- Word Cloud: itanong "Ano ang sinusuri mo bago mo pagsamahin ang code na isinulat ng assistant?" at ihambing ang mga sagot sa secure AI coding loop.
- Scale ng Rating: bago at pagkatapos, itanong ang "Gaano ka katiyak na nakikita mo ang kondisyon ng karera habang nirerepaso?" mula 1 hanggang 5.
- Bukas na Katapusan: mangolekta ng mga di-kilalang muntik nang matamaan mula sa huling sprint sa pagtatapos ng isang live session.
FAQ
Anong mga pagsasanay sa seguridad ang kailangan ng mga developer?
Kailangan ng mga developer ng ligtas na coding, paghawak ng dependency at mga sikreto, at ligtas na paggamit ng mga AI coding tool. Saklaw ng mga kurso sa itaas ang mga iyon, kasama ang mga pangunahing kaalaman sa kamalayan na kailangan ng bawat empleyado.
Ligtas ba ang code na binuo ng AI?
Hindi bilang default. Kailangan nito ang parehong pagsusuri, pagsubok at pag-scan tulad ng anumang iba pang code, at isang pagsusuri na ang bawat iminungkahing pakete ay umiiral at naaprubahan.
Ano ang kaligtasan ng memorya?
Ang kaligtasan ng memorya ay ang pag-iwas sa mga error tulad ng buffer overflows at paggamit pagkatapos ng libreng impormasyon na sinasamantala ng mga attacker. Ang C at C++ ay nangangailangan ng mga panuntunan at static analysis upang makarating doon.
Gaano kadalas dapat magsanay muli ang mga developer tungkol sa seguridad?
Minsan sa isang taon, na may maiikling update kapag nagbago ang mga framework, tool, o banta.
Ang post na ito ay pangkalahatang impormasyon lamang, hindi payong legal. Para sa desisyon tungkol sa iyong sariling lugar ng trabaho, makipag-usap sa isang kwalipikadong abogado o sa regulator.
