Yapay zekâ ile güvenlik odaklı geliştirme

Geliştiriciler için İleri Seviye AI Destekli Kodlama

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

Testten güvenliğe

Uygulama kodunu koruyan kalkan

İyi test edilmiş olmak güvenli olduğu anlamına gelmez
Üretime ulaşmadan önce açıkları önlemeye odaklanın

Güvenlik odaklı ilkeler

Güvenlik odaklı ilkeler diyagramı

✔ Açık kalıplarını erken bulun
✔ Yamalarla değil güvenli uygulamalarla düzeltin
✔ Güvenlik kontrollerini otomatikleştirin

Neden güvenlik için YZ?

Güvenlik sorunları için kodu tarayan YZ robotu

Bilinmeyen kodu hızla tarayın
Riskli alanları öne çıkarın
Somut iyileştirmeler önerin

YZ destekli güvenlik incelemesi

🤖 Güvenlik istemi:

Bir uygulama güvenliği mühendisiniz.

Depoyu SQL enjeksiyonu, XSS, CSRF, komut enjeksiyonu, eksik kimlik doğrulama/yetkilendirme veya hassas veri ifşası gibi yaygın güvenlik açıkları için tarayın. CWE Top 25 Most Dangerous Software Weaknesses'ı izleyin.

Her bulgu için şunları ekleyin:

Nerede oluştuğu ve neden riskli olduğu.

Tetikleyebilecek minimal bir kanıt amaçlı girdi.

Güvenlik incelemesi çıktısı

en üst güvenlik açıkları

Güvenlik tarayıcılarıyla doğrulama

tarama-komutları

YZ bulgularını tarayıcılarla doğrulayın
pip-audit → bağımlılık açıkları
semgrep → güvensiz kod kalıpları

Tarayıcı sonuçlarını yorumlama

🤖 Sonuç yorumlama istemi:

İşte tarama çıktıları. Sonuçları yorumlamama yardım edin ve varsa resmi adlarıyla bulunan güvenlik açıklarını listeleyin.

Bulguları hızlı düzeltmeler, orta çaba ve mimari değişiklikler olarak gruplayın. Her bulgu için riski değerlendirin ve şiddetini ekleyin.

<copy security reports here>

tarama-raporları

Güvenlik kontrollerini otomatikleştirme

🤖 CI istemi:

Düzenli güvenlik taramaları için bu kod tabanının CI iş akışına pip-audit ve semgrep komutlarını ekleyin.

İş akışını yüksek şiddetteki bulgularda başarısız olacak ve çıktıyı deterministik tutacak şekilde yapılandırın.

yz-ci

CI iş akışına entegre edin
Birim/entegrasyon testlerini otomatikleştirin
Bağımlılık denetimi ve statik analizi otomatikleştirin
Web servisleri için OWASP ZAP ekleyin

Güvenli istem kalıpları

Belirsiz vs güvenli istem karşılaştırması

Üç parçalı desen

Tehdit modeli → ne korunmalı
Güvenli varsayılanlar → daha güvenli ögeler
Doğrulama testleri → tekrarını önleyin

Üç parçalı güvenli istem deseni

Hadi pratik yapalım!

Geliştiriciler için İleri Seviye AI Destekli Kodlama