Säkerhetsfokuserad utveckling med AI

Avancerad AI-assisterad kodning för utvecklare

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

Från testning till säkerhet

Sköld som skyddar applikationskod

 

 

  • Vältestat innebär inte säkert
  • Fokusera på att förebygga sårbarheter innan de når produktion
Avancerad AI-assisterad kodning för utvecklare

Säkerhetsfokuserade principer

 

 

Diagram över säkerhetsfokuserade principer

 

 

  • ✔ Hitta sårbarhetsmönster tidigt
  • ✔ Åtgärda med säkra metoder, inte snabbfixar
  • ✔ Automatisera säkerhetskontroller
Avancerad AI-assisterad kodning för utvecklare

Varför AI för säkerhet?

AI-robot som skannar kod efter säkerhetsproblem

 

 

  • Skanna okänd kod snabbt
  • Identifiera riskfyllda hotspots
  • Föreslå konkreta åtgärder
Avancerad AI-assisterad kodning för utvecklare

AI-assisterad säkerhetsgranskning

🤖 Säkerhetsprompt:

Du är en applikationssäkerhetsingenjör.

Sök igenom detta repository efter vanliga sårbarheter som SQL-injektion, cross-site scripting, cross-site request forgery, kommandinjektion, saknade autentiserings- och auktoriseringskontroller eller exponering av känsliga data. Följ CWE Top 25 Most Dangerous Software Weaknesses.

För varje fynd, inkludera:

  • Var det förekommer och varför det är riskabelt.
  • Ett minimalt proof of concept-indata som kan trigga det.
Avancerad AI-assisterad kodning för utvecklare

Resultat av säkerhetsgranskning

Vanligaste sårbarheter

Avancerad AI-assisterad kodning för utvecklare

Validering med säkerhetsskanners

 

scan-commands.png

  • Validera AI-fynd med skanners
  • pip-audit → sårbarheter i beroenden
  • semgrep → osäkra kodmönster
Avancerad AI-assisterad kodning för utvecklare

Tolka skanningsresultat

🤖 Tolkningsprompt:

Här är skanningsresultaten. Hjälp mig att tolka resultaten och lista de sårbarheter som hittats, med officiella namn när sådana finns.

Gruppera fynden i snabba åtgärder, medelinsats och arkitekturförändringar. Bedöm risken för varje fynd och inkludera allvarlighetsgraden.

<klistra in säkerhetsrapporter här>

scan-reports.png

Avancerad AI-assisterad kodning för utvecklare
Avancerad AI-assisterad kodning för utvecklare

Automatisera säkerhetskontroller

 

🤖 CI-prompt:

Lägg till pip-audit- och semgrep-kommandona i det här kodbasens CI-arbetsflöde för att köra regelbundna säkerhetsskanningar.

Konfigurera arbetsflödet så att det misslyckas vid fynd med hög allvarlighetsgrad och håll utdata deterministisk.

ai-ci.png

  • Integrera i CI-arbetsflöde
  • Automatisera enhets-/integrationstester
  • Automatisera beroenderevision och statisk analys
  • Lägg till OWASP ZAP för webbtjänster
Avancerad AI-assisterad kodning för utvecklare

Säkra promptmönster

Jämförelse av vaga och säkra promptmönster

Avancerad AI-assisterad kodning för utvecklare

Det tredelade mönstret

 

 

  • Hotmodell → vad som behöver skyddas
  • Säkra standardvärden → säkrare primitiver
  • Valideringstester → förhindra återfall

 

 

Tredelsigt säkert promptmönster

Avancerad AI-assisterad kodning för utvecklare

Låt oss öva!

Avancerad AI-assisterad kodning för utvecklare

Preparing Video For Download...