Security-First-Entwicklung mit KI

Fortgeschrittenes, KI-gestütztes Programmieren für Entwickler:innen

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

Von Testing zu Security

Schild schützt Anwendungscode

Gut getestet heißt nicht sicher
Ziel: Schwachstellen verhindern, bevor sie in die Production kommen

Security-First-Prinzipien

Sicherheits-First-Prinzipien – Diagramm

✔ Schwachstellenmuster früh finden
✔ Mit sicheren Praktiken fixen, nicht nur patchen
✔ Security-Checks automatisieren

Warum KI für Security?

KI-Roboter scannt Code nach Sicherheitsproblemen

Unbekannten Code schnell scannen
Riskante Hotspots aufzeigen
Konkrete Remediations vorschlagen

KI-gestütztes Security-Review

🤖 Security-Prompt:

Du bist Application-Security-Engineer.

Scanne dieses Repository auf häufige Schwachstellen wie SQL Injection, Cross-Site Scripting, Cross-Site Request Forgery, Command Injection, fehlende Authentifizierungs-/Autorisierungsprüfungen oder Offenlegung sensibler Daten. Richte dich nach den CWE Top 25 Most Dangerous Software Weaknesses.

Für jeden Fund nenne:

Wo er auftritt und warum er riskant ist.

Einen minimalen Proof-of-Concept-Input, der ihn auslöst.

Security-Review: Output

Top-Schwachstellen

Validierung mit Security-Scannern

Scan-Befehle

KI-Funde mit Scannern validieren
pip-audit → Abhängigkeitslücken
semgrep → unsichere Code-Muster

Scanner-Ergebnisse interpretieren

🤖 Prompt zur Ergebnisinterpretation:

Hier sind die Scan-Outputs. Hilf mir, die Ergebnisse zu deuten und die gefundenen Schwachstellen mit ihren offiziellen Namen aufzulisten.

Fasse die Funde in Quick Fixes, mittleren Aufwand und Architekturänderungen. Bewerte pro Fund das Risiko und gib die Schwere an.

<copy security reports here>

Scan-Reports

Security-Checks automatisieren

🤖 CI-Prompt:

Füge die Befehle für pip-audit und semgrep in den CI-Workflow dieses Codebases ein, um regelmäßige Security-Scans auszuführen.

Konfiguriere, dass der Workflow bei Funden mit hoher Schwere fehlschlägt und die Ausgabe deterministisch bleibt.

AI-CI

In CI-Workflow integrieren
Unit-/Integrationstests automatisieren
Dependency Auditing und Static Analysis automatisieren
OWASP ZAP für Web-Services hinzufügen

Sichere Prompt-Muster

Vager vs. sicherer Prompt – Vergleich

Das Drei-Teile-Muster

Threat Model → was schützen?
Secure Defaults → sichere Defaults
Validation Tests → Wiederholung verhindern

Dreiteiliges sicheres Prompt-Muster

Lass uns üben!

Fortgeschrittenes, KI-gestütztes Programmieren für Entwickler:innen