Desenvolvimento com IA: segurança em primeiro lugar

Programação assistida por IA avançada para desenvolvedores

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

De testes à segurança

Escudo protegendo código de aplicação

Testado ≠ seguro
Foque em prevenir vulnerabilidades antes de chegar à produção

Princípios de segurança-first

Diagrama de princípios de segurança em primeiro lugar

✔ Ache padrões de vulnerabilidade cedo
✔ Corrija com práticas seguras, não remendos
✔ Automatize checagens de segurança

Por que IA para segurança?

Robô de IA escaneando código por problemas de segurança

Escaneie código desconhecido rapidamente
Evidencie hotspots de risco
Proponha correções concretas

Revisão de segurança com ajuda da IA

🤖 Prompt de segurança:

Você é um engenheiro de segurança de aplicações.

Escaneie este repositório em busca de vulnerabilidades comuns como SQL injection, cross-site scripting, cross-site request forgery, command injection, falhas de autenticação/autorização ou vazamento de dados sensíveis. Siga o CWE Top 25 Most Dangerous Software Weaknesses.

Para cada achado, inclua:

Onde ocorre e por que é arriscado.

Um input mínimo de prova de conceito que possa dispará-lo.

Saída da revisão de segurança

Principais vulnerabilidades

Validando com scanners de segurança

Comandos de varredura

Valide achados da IA com scanners
pip-audit → vulnerabilidades em dependências
semgrep → padrões de código inseguro

Interpretando resultados dos scanners

🤖 Prompt para interpretar resultados:

Aqui estão as saídas dos scans. Ajude a interpretar e liste as vulnerabilidades, usando os nomes oficiais quando houver.

Agrupe em correções rápidas, esforço médio e mudanças arquiteturais. Para cada achado, avalie o risco e inclua a severidade.

<copy security reports here>

Relatórios de varredura

Automatizando checagens de segurança

🤖 Prompt para CI:

Adicione os comandos do pip-audit e do semgrep ao workflow de CI deste código para rodar scans regulares.

Configure o workflow para falhar em achados de alta severidade e manter a saída determinística.

IA no CI

Integre ao workflow de CI
Automatize testes unitários/de integração
Automatize auditoria de dependências e análise estática
Adicione OWASP ZAP para serviços web

Padrões de prompts seguros

Comparação: prompt vago vs. seguro

O padrão em três partes

Modelo de ameaças → o que proteger
Padrões seguros → defaults mais seguros
Testes de validação → evitar recorrência

Padrão de prompt seguro em três partes

Vamos praticar!

Programação assistida por IA avançada para desenvolvedores