Tworzenie oprogramowania z priorytetem bezpieczeństwa i AI

Zaawansowane programowanie wspomagane przez AI dla deweloperów

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

Od testowania do bezpieczeństwa

Tarcza chroniąca kod aplikacji

Dobrze przetestowany nie oznacza bezpiecznego
Skup się na zapobieganiu podatnościom przed wdrożeniem na produkcję

Zasady security-first

Diagram zasad security-first

✔ Wczesne wykrywanie wzorców podatności
✔ Naprawianie za pomocą bezpiecznych praktyk, nie łatek
✔ Automatyzacja kontroli bezpieczeństwa

Dlaczego AI w bezpieczeństwie?

Robot AI skanujący kod w poszukiwaniu luk bezpieczeństwa

Szybkie skanowanie nieznanego kodu
Wskazywanie ryzykownych obszarów
Proponowanie konkretnych remediacji

Przegląd bezpieczeństwa wspomagany przez AI

🤖 Prompt bezpieczeństwa:

Jesteś inżynierem ds. bezpieczeństwa aplikacji.

Przeskanuj to repozytorium pod kątem typowych podatności, takich jak SQL injection, cross-site scripting, cross-site request forgery, command injection, brak kontroli uwierzytelniania i autoryzacji oraz ekspozycja wrażliwych danych. Stosuj CWE Top 25 Most Dangerous Software Weaknesses.

Dla każdego znaleziska uwzględnij:

Gdzie występuje i dlaczego jest ryzykowne.

Minimalny proof of concept danych wejściowych, który może je wywołać.

Wyniki przeglądu bezpieczeństwa

Najważniejsze podatności

Walidacja za pomocą skanerów bezpieczeństwa

Polecenia skanowania

Weryfikuj wyniki AI za pomocą skanerów
pip-audit → podatności zależności
semgrep → niebezpieczne wzorce kodu

Interpretacja wyników skanera

🤖 Prompt interpretacji wyników:

Oto wyniki skanowania. Pomóż mi zinterpretować wyniki i wylistuj znalezione podatności, używając oficjalnych nazw, jeśli są dostępne.

Pogrupuj znaleziska na: szybkie poprawki, średni nakład pracy i zmiany architektoniczne. Dla każdego znaleziska oceń ryzyko i podaj jego poziom krytyczności.

<wklej tutaj raporty bezpieczeństwa>

Raporty ze skanowania

Automatyzacja kontroli bezpieczeństwa

🤖 Prompt CI:

Dodaj polecenia pip-audit i semgrep do workflow CI tego repozytorium, aby regularnie uruchamiać skany bezpieczeństwa.

Skonfiguruj workflow tak, aby kończył się błędem przy znaleziskach o wysokiej krytyczności, i zapewnij deterministyczne wyniki.

Bezpieczeństwo w CI wspomagane przez AI

Integracja z workflow CI
Automatyzacja testów jednostkowych/integracyjnych
Automatyzacja audytu zależności i analizy statycznej
Dodanie OWASP ZAP dla usług webowych

Wzorce bezpiecznych promptów

Porównanie ogólnego i bezpiecznego promptu

Wzorzec trzech elementów

Model zagrożeń → co wymaga ochrony
Bezpieczne domyślne → bezpieczniejsze prymitywy
Testy walidacyjne → zapobieganie powtórzeniom

Trójczęściowy wzorzec bezpiecznego promptu

Czas na ćwiczenia!

Zaawansowane programowanie wspomagane przez AI dla deweloperów