Розробка з пріоритетом безпеки з ШІ

Просунуте AI‑асистоване програмування для розробників

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

Від тестування до безпеки

Щит, що захищає код застосунку

Добре протестовано не означає безпечно
Зосередьтеся на попередженні вразливостей до виходу в продакшн

Принципи «спершу безпека»

Діаграма принципів «спершу безпека»

✔ Рано знаходьте патерни вразливостей
✔ Виправляйте безпечними практиками, а не латками
✔ Автоматизуйте перевірки безпеки

Навіщо ШІ для безпеки?

Робот ШІ сканує код на проблеми безпеки

Швидко скануйте невідомий код
Виявляйте ризикові ділянки
Пропонуйте конкретні виправлення

Огляд безпеки за допомогою ШІ

🤖 Промпт безпеки:

Ви інженер із безпеки застосунків.

Проскануйте цей репозиторій на поширені вразливості: SQL-інʼєкції, міжсайтові сценарії (XSS), підробку міжсайтових запитів (CSRF), інʼєкції команд, відсутність перевірок автентифікації та авторизації, розголошення чутливих даних. Дотримуйтесь CWE Top 25 Most Dangerous Software Weaknesses.

Для кожної знахідки вкажіть:

Де вона виникає і чому це ризиковано.

Мінімальний доказ працездатності — вхідні дані, що її спричиняють.

Результат огляду безпеки

топові вразливості

Перевірка сканерами безпеки

команди для сканування

Підтверджуйте висновки ШІ сканерами
pip-audit → вразливості залежностей
semgrep → небезпечні патерни коду

Інтерпретація результатів сканера

🤖 Промпт для інтерпретації результатів:

Ось вихідні дані сканів. Допоможіть інтерпретувати результати та перелічити знайдені вразливості, використовуючи їхні офіційні назви, якщо є.

Згрупуйте знахідки: швидкі виправлення, середні зусилля, архітектурні зміни. Для кожної оцініть ризик і наведіть рівень критичності.

<copy security reports here>

звіти сканування

Автоматизація перевірок безпеки

🤖 Промпт для CI:

Додайте команди pip-audit і semgrep до CI-воркфлоу цього коду для регулярних сканів безпеки.

Налаштуйте збій воркфлоу при знахідках високої критичності й детермінований вивід.

Інтегруйте в CI-воркфлоу
Автоматизуйте юнінт/інтеграційні тести
Автоматизуйте аудит залежностей і статичний аналіз
Додайте OWASP ZAP для вебсервісів

Шаблони безпечних промптів

Порівняння: розпливчастий vs безпечний промпт

Трипартитний шаблон

Модель загроз → що захищати
Безпечні налаштування за замовчуванням → безпечніші примітиви
Тести валідації → недопущення повторень

Трипартитний шаблон безпечного промпту

Переходимо до практики!

Просунуте AI‑асистоване програмування для розробників