上次审核日期为 2026 年 11 月 4 日，依据本文链接的来源。
这个拉取请求看起来很简洁。大部分代码都是由编码助手编写的，测试也通过了，而且它还添加了一个团队里没人听说过的库。合并它之后，你可能会发布一个上周还不存在的软件包，或者一个跳过了访问检查的端点。这就是开发人员安全培训需要弥补的差距。OWASP Top 10:2025 将访问控制缺陷列为首要问题，并指出： 所有测试的应用程序都存在某种形式的访问控制缺陷。.
这份清单面向工程经理和安全负责人。您将获得 10 门现成的课程，分为 3 个组，分别介绍每门课程解决的问题以及部署方法。每组课程都以一个……结尾。 我们的选择. 其中唯一的法律要点描述的是美国联邦法规，因此请将其作为教学大纲，而不是判决。
全部10门课程概览
| 课程 | 它涵盖的内容 | 长度 | 背后的法律依据是什么？ |
|---|---|---|---|
| 安全的AI辅助软件开发 | 编码助手、代理和安全的AI编码循环 | 45分钟 | 没有 |
| 符合 CERT 和 MISRA 标准的内存安全 C 和 C++ | 生命周期、指针、常见缺陷和静态分析 | 45分钟 | 没有 |
| 并发安全性 | 线程、锁、竞态条件和死锁 | 40分钟 | 没有 |
| 企业平台开发人员入职 | 首次安全变更、扩展和变更控制 | 45分钟 | 没有 |
| 数据分类与处理 | 数据的层级、存储、共享和处置 | 25分钟 | 没有 |
| 人人享有人工智能安全 | Shadow AI、提示注入和未知代码包 | 30分钟 | 没有 |
| 安全意识要点 | 攻击的各个阶段和核心习惯 | 35分钟 | 是的（美国涵盖的金融机构） |
| 网络钓鱼和社会工程 | 危险信号、核实和报告 | 30分钟 | 没有 |
| 密码、通行密钥和多因素身份验证 | 安全登录、多因素身份验证、密码和恢复 | 30分钟 | 没有 |
| 社会工程、欺诈和深度伪造 | 电话诈骗、支付诈骗和身份冒用诈骗 | 35分钟 | 没有 |
只有安全意识课程符合美国联邦法规，而且仅适用于部分机构：联邦贸易委员会的保障规则规定，受监管的金融机构必须提供此类课程。 对其员工进行安全意识培训它并不能为其他人设定方向。
安全可靠的发展
安全的AI辅助软件开发：无风险的编码助手和代理
这门45分钟的课程以一个虚构的包裹作为攻击开场，随后讲解了编码助手和代理的六种失效方式、安全的AI编码循环（提示、检查、测试、披露）、客户数据、shell命令和未经测试的拉取请求的灰色地带，以及带有AI使用标签的已批准工具。课程最后设有12道题的最终测试，80%的正确率即可通过。“找出缺陷”环节可以很好地以选择答案的形式呈现。有关复习部分，请参阅…… 我们的AI生成代码审查培训指南.
符合 CERT 和 MISRA 标准的内存安全 C 和 C++
内存安全漏洞是 C 和 C++ 中众所周知的漏洞类型。这门 45 分钟的课程从一个由意外指针导致的崩溃案例开始，然后涵盖栈、堆和生命周期、指针和数组、常见的漏洞（例如释放后使用）、实践中的编码规则以及代码审查中的静态分析。“指出漏洞”问题非常适合作为团队代码审查环节中的选择题。
并发安全性：线程、锁和竞态条件
竞态条件会导致一些 bug，这些 bug 在所有测试中都能通过，直到部署到生产环境。这门 40 分钟的课程以一个每运行十次就会出错的计数器为例，讲解线程、进程和异步、锁、互斥锁和信号量、竞态条件和死锁、各种编程语言的模式以及复习清单。“选择工具”场景（互斥锁还是信号量）可以帮助后端开发人员快速检验自己的知识水平。
企业平台开发人员入门：您首次安全地对业务平台进行更改
新开发人员在可配置业务平台上进行首次更改时，往往会造成系统崩溃。这门 45 分钟的课程涵盖了对实时配置的首次更改、平台概念、报表和处理、扩展和配置库、变更控制以及编写交接说明等内容。建议在新员工入职的第一周内，在他们接触供应商对象之前使用本课程。
我们的推荐：安全可靠的AI辅助软件开发。 现在很多团队都会发布助理编写的代码，而本课程会为他们提供一个在合并代码之前需要遵循的步骤。
数据和人工智能工具安全
数据分类与处理
开发人员将生产数据复制到测试系统中，并通过聊天工具共享日志。这门 25 分钟的课程涵盖了数据分类存在的意义、公司的数据分类级别、标记、存储、共享和处置数据时的允许和禁止事项、需要注意的问题以及如何升级处理。课程最后设有 10 道题的最终测试，答对 80% 即可通过。“机密数据应该存储在哪里？”是一道快速选择题。
人人享有人工智能安全：影子人工智能、提示注入和操纵输出
提示注入和未知代码包会直接影响编码助手。这门 30 分钟的课程涵盖了影子 AI 和被入侵的聊天机器人、提示注入和恶意内容、PDF 和电子邮件中的隐藏指令、免费 AI 扩展和未知代码包，以及如何报告事件或申请已获批准的工具。课程还提供了一张关于“您的编辑器中目前使用了哪些 AI 工具？”的词云图，展示了您的策略需要涵盖哪些内容。
我们的推荐：数据分类与处理。 将堆栈跟踪粘贴到聊天机器人中会导致数据泄露，本简短课程将在泄露发生之前阐明其中的各个层面。
账户和网络钓鱼防御
安全意识要点
开发人员掌握源代码、机密信息和管道访问权限，因此对他们而言，基础安全培训更为重要。这门 35 分钟的课程涵盖了人们为何成为攻击目标、攻击的构成、危险信号、如何保护自己以及如何应对和报告攻击，课程最后设有 12 道题的考核，80% 的正确率即可通过。对于受监管的金融机构而言，这门课程是满足联邦贸易委员会 (FTC) 安全保障规则中安全意识培训要求的现成途径，尽管该规则并未指定具体的课程。
网络钓鱼和社会工程
开发者经常成为网络钓鱼攻击的目标，攻击者会窃取代码库和云平台的凭证。这门 30 分钟的课程将讲解攻击的构建方式、识别危险信号、如何保护自己以及如何举报，课程最后设有 12 道题的考核，80% 的正确率即可通过。请在课程演示文稿中添加一个伪造的代码托管登录页面示例。您的安全运营中心 (SOC) 会对开发者举报的信息进行分类处理：请参阅 我们的 SOC 分析师培训清单.
员工密码、通行密钥和多因素身份验证
开发者账号负责保护代码和流程，因此需要强大的身份验证。这门 30 分钟的课程涵盖了账号为何成为攻击目标、如何创建强大且唯一的登录信息、多因素身份验证和密码、伪造的登录页面以及共享、快捷方式和恢复等方面的灰色地带。课程最后会用一个关于“您的账号中有多少使用了多因素身份验证？”的评分表来开启一场坦诚的对话。
社会工程、欺诈和深度伪造：电话诈骗、支付诈骗和身份冒用诈骗
冒充诈骗的目标通常是拥有权限审批或部署权限的工程师。这门35分钟的课程会模拟一个看似合理的请求，讲解诈骗手法，包括如何通过已知号码进行验证、伪造语音和视频，以及为什么资历和保密性反而会成为一种压力，而非证明。课程中会设置一个“你会授予此权限吗？”的情景题，作为选择题环节。
我们的建议：为员工使用密码、通行密钥和多因素身份验证。 一个被盗的开发者登录信息就能影响整个流程，而且通行密钥可以抵御网络钓鱼，因此仅凭被盗的密码已经无法打开它。
如何实施该计划
从最常见的缺陷入手。例如，在访问控制方面发现的缺陷。 OWASP 数据测试的每个应用程序将安全编码课程与复习习惯结合起来，而不仅仅是课件。
- 新开发人员入职第一周： 安全意识要点、密码、通行密钥和多因素身份验证、数据分类，以及如果您的团队基于某个平台进行开发，则需要参加平台入职培训课程。
- 第一个月内： 安全的 AI 辅助开发、人人都能享有的 AI 安全，以及团队所用语言的内存安全或并发课程。
- 每年： 每门课程都会进行复习测验，此外，每当新助理或代理获得批准时，还会进行人工智能课程的复习测验。
- 适用情况： 如果您是受监管的金融机构，请按照联邦贸易委员会保障规则所述，及时更新安全意识培训，并咨询您的法律顾问，了解您所在国家或州还有哪些其他规定。
开展这些课程的方法 AhaSlides
你可以利用以下任何一项功能，将这些内容构建成自定进度的课程： AhaSlides 课程创建者可以将其作为实时问答环节进行讲解，或者两者兼而有之，并在课程结束后进行调查，并在 30 天后进行回访，以了解发生了哪些变化。
- 选择答案： 展示课程中的一段代码，并询问它隐藏了什么缺陷。
- 词云： 问“在合并助手编写的代码之前，你会检查什么？”并将答案与安全的 AI 编码循环进行比较。
- 评级量表： 在审查前后，询问“您在审查过程中发现竞态条件的信心有多大？”，答案从 1 到 5。
- 开放式： 在实时会话结束时，收集上一个迭代周期中匿名发生的险些失败事件。
常见问题解答
开发人员需要接受哪些安全培训？
开发人员需要掌握安全的编码、依赖项和密钥管理，以及安全使用人工智能编码工具。以上课程涵盖了这些内容，以及每位员工都需要具备的基本安全意识。
人工智能生成的代码安全吗？
默认情况下并非如此。它需要像其他任何代码一样经过审核、测试和扫描，并且需要检查每个建议的软件包是否存在且已获批准。
什么是内存安全？
内存安全是指防止诸如缓冲区溢出和释放后使用等攻击者可利用的错误。C 和 C++ 需要通过规则和静态分析来实现内存安全。
开发人员应该多久接受一次安全方面的再培训？
每年一次，当框架、工具或威胁发生变化时进行简短更新。
本文仅提供一般信息，不构成法律建议。如需就您所在工作场所的相关事宜做出决定，请咨询合格律师或监管机构。
