Bezpieczne programowanie z AI: tworzenie oprogramowania z asystentami kodu, szkolenie online w czasie rzeczywistym

1. Asystenci AI w pracy z kodem: co się zmieniło w ryzyku

• Jak model generuje kod i dlaczego powiela niebezpieczne wzorce
• Podpowiedzi w edytorze, czat, agent z dostępem do terminala: trzy poziomy ryzyka
• Odpowiedzialność za kod z AI w zespole
• Gdzie AI naprawdę przyspiesza, a gdzie tylko przesuwa pracę na przegląd
• Ćwiczenie: mapa użycia AI w Waszym procesie wytwarzania

2. Typowe podatności w kodzie generowanym

• Wstrzyknięcia: SQL, polecenia systemowe, ścieżki plików
• Brak walidacji wejścia i kodowania wyjścia, XSS
• Uwierzytelnianie, autoryzacja i kontrola dostępu do obiektów
• Kryptografia na skróty i słabe generatory losowe
• Ćwiczenie: znajdźcie podatności w pięciu funkcjach z AI

3. Bezpieczne prompty i instrukcje projektowe

• Prompt, który zakłada bezpieczeństwo, a prompt, który go wymaga
• Pliki instrukcji projektu dla asystenta: standardy, zakazy, biblioteki
• Generowanie testów bezpieczeństwa razem z kodem
• Kiedy nie prosić AI o kod: obszary wymagające projektu
• Ćwiczenie: ta sama funkcja z trzema różnymi promptami

4. Zależności, pakiety i łańcuch dostaw

• Pakiety wymyślone przez model i podszywanie się pod nie
• Przestarzałe i podatne wersje bibliotek w podpowiedziach
• Licencje kodu i bibliotek proponowanych przez AI
• Weryfikacja zależności przed dodaniem do projektu
• Ćwiczenie: audyt pliku zależności wygenerowanego przez AI

5. Sekrety i dane w pracy z asystentem

• Klucze API i hasła w kodzie i w kontekście promptu
• Jakie pliki repozytorium trafiają do asystenta i jak to ograniczyć
• Dane produkcyjne i dane osobowe w przykładach i testach
• Wersje firmowe asystentów a przetwarzanie kodu
• Ćwiczenie: konfiguracja wykluczeń i skanowanie sekretów

6. Przegląd kodu z AI

• Kod z AI traktujemy jak kod od zewnętrznego dostawcy
• Lista kontrolna przeglądu dla zmian generowanych
• AI jako wsparcie przeglądu: co wyłapuje, czego nie
• Wielkość zmian i opis pull requestu przy pracy z agentem
• Ćwiczenie: przegląd pull requestu przygotowanego przez agenta

7. Automatyczne kontrole w CI/CD

• SAST: reguły i ich dostrajanie do projektu
• Skanowanie sekretów przed commitem i w pipeline
• Skanowanie zależności i aktualizacje bezpieczeństwa
• Progi blokujące scalenie zmian bez paraliżu zespołu
• Ćwiczenie: pipeline z trzema skanerami na repozytorium ćwiczeniowym

8. Agenci AI w IDE i terminalu

• Uprawnienia agenta: pliki, polecenia, sieć
• Integracje i serwery narzędzi: co agent może zrobić w Waszym imieniu
• Prompt injection przez pliki, zgłoszenia i dokumentację w repozytorium
• Środowiska izolowane i zasada najmniejszych uprawnień
• Ćwiczenie: bezpieczna konfiguracja agenta dla projektu

9. Bezpieczne aplikacje z modelami językowymi

• OWASP Top 10 for LLM Applications w praktyce
• Prompt injection bezpośredni i pośredni
• Niebezpieczna obsługa odpowiedzi modelu i nadmierna sprawczość
• Ochrona danych w kontekście, logach i historii rozmów
• Ćwiczenie: atak i obrona prostego czatbota z dostępem do narzędzi

10. Warsztat podsumowujący na przykładach uczestników

• Przegląd scenariuszy pracy z AI z Waszych zespołów
• Zasady korzystania z asystentów kodu dla zespołu
• Lista kontrolna przeglądu kodu i konfiguracja skanerów do wdrożenia
• Plan wprowadzenia zmian w projekcie
• Pytania i odpowiedzi

Uczestnicy szkolenia otrzymają materiały szkoleniowe w formie elektronicznej, obejmujące:

• checklistę wspierającą analizę bezpieczeństwa aplikacji i identyfikację najczęściej występujących podatności,
• materiały dotyczące kodów odpowiedzi HTTP wykorzystywanych podczas testowania aplikacji webowych i usług sieciowych,
• materiał wprowadzający do narzędzia OWASP ZAP wraz z przykładami jego wykorzystania podczas testów bezpieczeństwa,
• przykładowy raport z testów bezpieczeństwa prezentujący sposób dokumentowania wyników oraz zgłaszania wykrytych podatności,
• materiały edukacyjne dotyczące rodzajów ataków oraz najczęściej występujących podatności bezpieczeństwa w aplikacjach i systemach informatycznych,
• zestaw ćwiczeń praktycznych realizowanych podczas szkolenia.

Uczestnicy otrzymają również dostęp do materiałów wykorzystywanych podczas warsztatów praktycznych oraz przykładowych scenariuszy związanych z analizą bezpieczeństwa aplikacji i systemów IT.

Usługa dostępna dla uczestników projektu „Małopolski Pociąg do Kariery – sezon 1” oraz „Nowy Start w Małopolsce z EURESem”. Realizacja możliwa z wykorzystaniem bonów szkoleniowych zgodnie z zasadami projektu.

Usługa realizowana będzie w formie zdalnej w czasie rzeczywistym z wykorzystaniem platformy szkoleniowej ClickMeeting.

Uczestnik powinien dysponować:

• komputerem lub laptopem wyposażonym w mikrofon oraz głośniki lub słuchawki,
• stabilnym dostępem do Internetu,
• aktualną przeglądarką internetową (Google Chrome, Microsoft Edge, Mozilla Firefox lub równoważną),
• aktywnym adresem e-mail umożliwiającym otrzymywanie materiałów szkoleniowych oraz informacji organizacyjnych.

Ze względu na praktyczny charakter szkolenia uczestnik powinien posiadać możliwość instalacji bezpłatnego oprogramowania wykorzystywanego podczas zajęć, w szczególności:

• narzędzia OWASP ZAP lub równoważnego oprogramowania wspierającego analizę bezpieczeństwa aplikacji,
• przeglądarki internetowej umożliwiającej wykonywanie ćwiczeń praktycznych,
• oprogramowania umożliwiającego korzystanie z materiałów szkoleniowych udostępnianych przez trenera.

Przed rozpoczęciem szkolenia uczestnicy otrzymają:

• link do platformy szkoleniowej ClickMeeting,
• instrukcję logowania i udziału w zajęciach,
• informacje organizacyjne dotyczące realizacji usługi,
• listę niezbędnego oprogramowania wykorzystywanego podczas warsztatów praktycznych,
• dostęp do materiałów szkoleniowych w formie elektronicznej.

Uczestnik powinien posiadać podstawowe umiejętności obsługi komputera oraz możliwość aktywnego udziału w ćwiczeniach praktycznych związanych z identyfikacją zagrożeń, analizą podatności oraz oceną bezpieczeństwa aplikacji i systemów informatycznych.