Разработка с приоритетом безопасности и ИИ

Продвинутое программирование с ИИ-ассистентами

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

От тестирования к безопасности

Щит, защищающий код приложения

Хорошо протестированный ≠ безопасный
Акцент на предотвращении уязвимостей до выхода в производство

Принципы безопасности

Схема принципов безопасности

✔ Выявляйте паттерны уязвимостей на ранних этапах
✔ Устраняйте через безопасные практики, а не патчи
✔ Автоматизируйте проверки безопасности

Зачем использовать ИИ для безопасности?

Робот ИИ сканирует код на уязвимости

Быстро сканирует незнакомый код
Выявляет рискованные места
Предлагает конкретные меры по устранению

Проверка безопасности с помощью ИИ

🤖 Запрос по безопасности:

Вы — инженер по безопасности приложений.

Проверьте этот репозиторий на распространённые уязвимости: SQL-инъекции, межсайтовый скриптинг, CSRF, внедрение команд, отсутствие проверок аутентификации и авторизации, утечка конфиденциальных данных. Следуйте CWE Top 25 Most Dangerous Software Weaknesses.

По каждой находке укажите:

Где встречается и почему это опасно.

Минимальный пример входных данных, способных её активировать.

Результаты проверки безопасности

Топ уязвимостей

Проверка с помощью сканеров безопасности

Проверяйте выводы ИИ с помощью сканеров
pip-audit → уязвимости зависимостей
semgrep → небезопасные паттерны кода

Интерпретация результатов сканера

🤖 Запрос для интерпретации результатов:

Вот результаты сканирования. Помогите интерпретировать их и перечислить найденные уязвимости, используя официальные названия там, где это возможно.

Сгруппируйте находки: быстрые исправления, среднее усилие, архитектурные изменения. Для каждой укажите риск и уровень серьёзности.

<вставьте отчёты о безопасности здесь>

Автоматизация проверок безопасности

🤖 Запрос для CI:

Добавьте команды pip-audit и semgrep в CI-процесс этой кодовой базы для регулярных проверок безопасности.

Настройте процесс так, чтобы он завершался с ошибкой при высокой серьёзности находок, и сделайте вывод детерминированным.

Интеграция в CI-процесс
Автоматизация юнит/интеграционных тестов
Автоматизация аудита зависимостей и статического анализа
Добавление OWASP ZAP для веб-сервисов

Паттерны безопасных запросов

Сравнение расплывчатого и безопасного запроса

Трёхчастный паттерн

Модель угроз → что нужно защитить
Безопасные значения по умолчанию → более надёжные примитивы
Тесты валидации → предотвращение повторения

Трёхчастный паттерн безопасного запроса

Давайте попрактикуемся!

Продвинутое программирование с ИИ-ассистентами