上次審核日期為 2026 年 11 月 4 日，依據本文連結的來源。
這個拉取請求看起來很簡潔。大部分程式碼都是由編碼助手編寫的，測試也通過了，而且它還添加了一個團隊裡沒人聽過的函式庫。合併它之後，你可能會發布一個上週還不存在的軟體包，或者一個跳過了訪問檢查的端點。這就是開發人員安全培訓需要彌補的差距。 OWASP Top 10:2025 將門禁控制缺陷列為首要問題，並指出： 所有測試的應用程式都存在某種形式的存取控制缺陷。.
這份清單是針對工程經理和安全負責人。您將獲得 10 門現成的課程，分為 3 組，分別介紹每門課程解決的問題以及部署方法。每組課程都以一個…結尾。 我們的選擇. 其中唯一的法律要點描述的是美國聯邦法規，因此請將其作為教學大綱，而不是判決。
全部10門課程概覽
| 課程 | 涵蓋的內容 | 總長: | 背後的法律依據是什麼？ |
|---|---|---|---|
| 安全的AI輔助軟體開發 | 編碼助理、代理和安全的AI編碼循環 | 45分鐘 | 沒有 |
| 符合 CERT 和 MISRA 標準的記憶體安全 C 和 C++ | 生命週期、指針、常見缺陷和靜態分析 | 45分鐘 | 沒有 |
| 並發安全性 | 線、鎖、競態條件和死鎖 | 40分鐘 | 沒有 |
| 企業平台開發人員入職 | 首次安全變更、擴展和變更控制 | 45分鐘 | 沒有 |
| 資料分類與處理 | 資料的層級、儲存、共享和處置 | 25分鐘 | 沒有 |
| 人人享有人工智慧安全 | Shadow AI、提示注入與未知碼包 | 30分鐘 | 沒有 |
| 安全意識要點 | 攻擊的各個階段和核心習慣 | 35分鐘 | 是的（美國涵蓋的金融機構） |
| 網路釣魚與社會工程 | 危險信號、核實和報告 | 30分鐘 | 沒有 |
| 密碼、通行金鑰和多因素身份驗證 | 安全登入、多因素身份驗證、密碼和恢復 | 30分鐘 | 沒有 |
| 社會工程、詐欺和深度偽造 | 電話詐騙、支付詐騙和身分冒用詐騙 | 35分鐘 | 沒有 |
只有安全意識課程符合美國聯邦法規，而且僅適用於部分機構：聯邦貿易委員會的保障規則規定，受監管的金融機構必須提供此類課程。 對其員工進行安全意識培訓它並不能為其他人設定方向。
安全可靠的發展
安全的AI輔助軟體開發：無風險的編碼助手和代理
這門45分鐘的課程以一個虛構的包裹作為攻擊開場，隨後講解了編碼助手和代理的六種失效方式、安全的AI編碼循環（提示、檢查、測試、披露）、客戶資料、shell命令和未經測試的拉取請求的灰色地帶，以及帶有AI使用標籤的已批准工具。課程最後設有12題的最終測試，80%的正確率即可通過。 「找出缺陷」環節可以很好地以選擇答案的形式呈現。有關複習部分，請參閱… 我們的AI生成程式碼審查培訓指南.
符合 CERT 和 MISRA 標準的記憶體安全 C 和 C++
記憶體安全漏洞是 C 和 C++ 中眾所周知的漏洞類型。這門 45 分鐘的課程從一個由意外指標導致的崩潰案例開始，然後涵蓋堆疊、堆疊和生命週期、指標和陣列、常見的漏洞（例如釋放後使用）、實踐中的編碼規則以及程式碼審查中的靜態分析。 「指出漏洞」問題非常適合作為團隊程式碼審查環節中的選擇題。
並發安全性：線程、鎖和競態條件
競態條件會導致一些 bug，這些 bug 在所有測試中都能通過，直到部署到生產環境。這門 40 分鐘的課程以一個每運行十次就會出錯的計數器為例，講解線程、進程和非同步、鎖、互斥鎖和信號量、競態條件和死鎖、各種程式語言的模式以及複習清單。 「選擇工具」場景（互斥鎖還是信號量）可以幫助後端開發人員快速檢驗自己的知識水準。
企業平台開發人員入門：您首次安全地對業務平台進行更改
新開發人員在可配置業務平台上進行首次更改時，往往會造成系統崩潰。這門 45 分鐘的課程涵蓋了對即時配置的首次更改、平台概念、報表和處理、擴展和配置庫、變更控制以及編寫交接說明等內容。建議在新員工入職的第一週內，在他們接觸供應商對象之前使用本課程。
我們的推薦：安全可靠的AI輔助軟體開發。 現在很多團隊都會發布助理編寫的程式碼，而本課程會提供他們一個在合併程式碼之前需要遵循的步驟。
數據和人工智慧工具安全
資料分類與處理
開發人員將生產資料複製到測試系統中，並透過聊天工具共用日誌。這門 25 分鐘的課程涵蓋了資料分類存在的意義、公司的資料分類等級、標記、儲存、共享和處置資料時的允許和禁止事項、需要注意的問題以及如何升級處理。課程最後設有 10 題的最終測試，答對 80% 即可通過。 「機密資料該儲存在哪裡？」是一道快速選擇題。
人人享有人工智慧安全：影子人工智慧、提示注入和操控輸出
提示注入和未知代碼包會直接影響編碼助手。這門 30 分鐘的課程涵蓋了影子 AI 和被入侵的聊天機器人、提示注入和惡意內容、PDF 和電子郵件中的隱藏指令、免費 AI 擴展和未知代碼包，以及如何報告事件或申請已獲批准的工具。課程還提供了「您的編輯器中目前使用了哪些 AI 工具？」的詞雲圖，展示了您的策略需要涵蓋哪些內容。
我們的推薦：資料分類與處理。 將堆疊追蹤貼到聊天機器人中會導致資料洩露，本簡短課程將在洩漏發生之前闡明其中的各個層面。
帳戶和網路釣魚防禦
安全意識要點
開發人員掌握原始碼、機密資訊和管道存取權限，因此對他們而言，基礎安全培訓更為重要。這門 35 分鐘的課程涵蓋了人們為何成為攻擊目標、攻擊的構成、危險信號、如何保護自己以及如何應對和報告攻擊，課程最後設有 12 道題的考核，80% 的正確率即可通過。對於受監管的金融機構而言，這門課程是滿足聯邦貿易委員會 (FTC) 安全保障規則中安全意識培訓要求的現成途徑，儘管該規則並未指定具體的課程。
網路釣魚與社會工程
開發者經常成為網路釣魚攻擊的目標，攻擊者會竊取程式碼庫和雲端平台的憑證。這門 30 分鐘的課程將講解攻擊的建構方式、識別危險信號、如何保護自己以及如何舉報，課程最後設有 12 道題的考核，80% 的正確率即可通過。請在課程簡報中新增一個偽造的程式碼託管登入頁面範例。您的安全營運中心 (SOC) 會對開發者舉報的資訊進行分類處理：請參閱 我們的 SOC 分析師培訓清單.
員工密碼、通行金鑰和多因素身份驗證
開發者帳號負責保護程式碼和流程，因此需要強大的身份驗證。這門 30 分鐘的課程涵蓋了帳號為何成為攻擊目標、如何創建強大且唯一的登入資訊、多因素身份驗證和密碼、偽造的登錄頁面以及共享、快捷方式和恢復等方面的灰色地帶。課程最後會用一個關於「您的帳號中有多少使用了多因素身份驗證？」的評分錶來開啟一場坦誠的對話。
社會工程、詐欺和深度偽造：電話詐騙、支付詐騙和身分冒用詐騙
冒充詐騙的目標通常是擁有權限核准或部署權限的工程師。這門35分鐘的課程會模擬一個看似合理的請求，講解詐騙手法，包括如何通過已知號碼進行驗證、偽造語音和視頻，以及為什麼資歷和保密性反而會成為一種壓力，而非證明。課程中會設定一個「你會授予此權限嗎？」的情境題，作為選擇題環節。
我們的建議：為員工使用密碼、通行金鑰和多重因素身分驗證。 一個被盜的開發者登入資訊就能影響整個流程，而且通行密鑰可以抵禦網路釣魚，因此僅憑被盜的密碼已經無法打開它。
如何實施該計劃
從最常見的缺陷入手。例如，在存取控制方面發現的缺陷。 OWASP 資料測試的每個應用程式將安全編碼課程與複習習慣結合起來，而不僅僅是課件。
- 新開發人員入職第一週： 安全意識要點、密碼、通行金鑰和多因素身份驗證、資料分類，以及如果您的團隊基於某個平台進行開發，則需要參加平台入職培訓課程。
- 第一個月內： 安全的 AI 輔助開發、人人都能享有的 AI 安全，以及團隊所用語言的記憶體安全或併發課程。
- 每年： 每門課程都會進行複習測驗，此外，每當新助理或代理商獲得批准時，還會進行人工智慧課程的複習測驗。
- 適用情況： 如果您是受監管的金融機構，請按照聯邦貿易委員會保障規則所述，及時更新安全意識培訓，並諮詢您的法律顧問，以了解您所在國家或州還有哪些其他規定。
開展這些課程的方法 AhaSlides
你可以利用以下任何一項功能，將這些內容建構成自訂進度的課程： AhaSlides 課程創建者可以將其作為即時問答環節進行講解，或者兩者兼而有之，並在課程結束後進行調查，並在 30 天後進行回訪，以了解發生了哪些變化。
- 選擇答案： 展示課程中的一段程式碼，並詢問它隱藏了什麼缺陷。
- 詞云： 問「在合併助手編寫的程式碼之前，你會檢查什麼？」並將答案與安全的 AI 編碼循環進行比較。
- 評分標準： 在審查前後，詢問“您在審查過程中發現競態條件的信心有多大？”，答案從 1 到 5。
- 開放式： 在即時會話結束時，收集上一個迭代周期中匿名發生的險些失敗事件。
常見問題
開發人員需要接受哪些安全訓練？
開發人員需要掌握安全的編碼、相依性和金鑰管理，以及安全使用人工智慧編碼工具。以上課程涵蓋了這些內容，以及每位員工都需要具備的基本安全意識。
人工智慧生成的程式碼安全嗎？
預設並非如此。它需要像其他任何程式碼一樣經過審核、測試和掃描，並且需要檢查每個建議的軟體包是否存在且已獲批准。
什麼是記憶體安全？
記憶體安全是指防止諸如緩衝區溢位和釋放後使用等攻擊者可利用的錯誤。 C 和 C++ 需要透過規則和靜態分析來實現記憶體安全。
開發人員應該多久接受一次安全的再訓練？
每年一次，當框架、工具或威脅發生變化時進行簡短更新。
本文僅提供一般信息，不構成法律建議。如需就您所在工作場所的相關事宜做出決定，請諮詢合格律師或監管機構。
