Insights from experts shaping secure development

娘と会社が年をとるほど、スタートアップの旅と「初めて」の親の旅との間には、非常に多くの類似点があることに気づきます。私は今、どちらも4年目です。.pi

それでは、クリックジャッキングのしくみ、なぜ危険なのか、そしてあなたのような開発者がクリックジャッキングを防止するためにできることについて見ていきましょう。

OS コマンドインジェクション攻撃は、初級レベルの熟練度の低いハッカーが実行する可能性があり、セキュリティチームが経験する最も一般的な弱点の 1 つとなっています。ありがたいことに、攻撃を阻止するための非常に効果的な方法は数多くあります。

セッションは、Web を使用する際の優れたユーザーエクスペリエンスの鍵です。ただし、セッションを誤って管理すると、攻撃者が悪用できるセキュリティホールが発生する可能性があります。

そろそろ警備のイメージチェンジをする時だと思わない？会話を変えて、すべてがもう少しポジティブになるのと同じくらい簡単です (楽しいことは言うまでもありません!)双方にとって、特に開発チームにとって。

Padding Oracleは、オルタナティブ・ロック・バンドとしては非常に悪い名前のように聞こえますが、実際には攻撃者が暗号鍵を知らなくても情報を復号化するために悪用できる脆弱性です。

悪意のあるユーザーが LDAP クエリを操作できると、問題が発生する可能性があります。これを行うと、受信側のサーバーを騙して、通常は許可されないような無効なクエリを実行させたり、パスワードなしで無効なユーザーやセキュリティレベルの低いユーザーに高レベルまたは管理者アクセスを許可したりする可能性があります。

私たちが直面している本当の戦いは、スクリプト小僧や危険な組織化されたサイバー犯罪シンジケートに対するものではありません。データ侵害が起こっていることを、より多くの人々に気にかけてもらうことです。

サイバーセキュリティでは、攻撃者は無制限のファイルアップロードをサポートすることが許可されているアプリケーションやプログラムをすぐに悪用できます。そして、その結果は壊滅的なものになる可能性があります。

NoSQL データベースはますます人気が高まっています。そのスピードと非構造化データの扱いやすさは否定できませんが、利用が広まるにつれ、より多くの脆弱性が表面に出てくることは避けられません。

CSRF 攻撃はかなり複雑で、成功するには複数のレイヤーが必要です。言い換えると、攻撃者に有利に働かせるためには、多くのことを突破しなければならないということです。それにもかかわらず、これらは非常に人気があり、収益性の高い攻撃ベクトルです。

攻撃者はSQLインジェクションを使用しています。SQLインジェクションは最も古いものの1つです（1998年以降！）そして、最も厄介なデータ脆弱性は、世界中の何百万ものデータベースにある機密情報を盗み、改ざんすることです。

オンラインプライバシーがセキュリティなしで存在しようとすると、混乱が支配します。ロス・ウルブリヒトに聞いてみてください。

Wox: requéén

ゴキブリは基本的に何にでも生き残ることができるというよく知られた理論があります。核爆発でさえも。

コードの脆弱性を発見するソリューションは数多くありますが、セキュリティでは、そもそもミスを防ぐためのセキュリティガイドラインに従うよう開発者に教えることに重点を置く必要があります。

私たちは話題を変え、セキュリティをすべての開発者の仕事に欠かせないものにするよう努めなければなりません。そのための最善の方法の 1 つは、ゲーミフィケーションなどを通じて開発者にセキュリティに関する権限を与え、関与させることだと思います。

セキュリティを企業のイノベーションの道における苛立たしい障害と考えるのはやめなければなりません。

．．．．．じじじずずらずずずつ。

開発者が最初から安全なコードを書けるようにすることは、CISOにとってセキュリティの苦境からある程度プロアクティブなコントロールをつかむ機会であり、セキュリティチームと開発チームの両方にとって、迅速、簡単、かつ測定可能な改善の機会でもあります。

捜査官によると、爆発を防いだのは攻撃者のコンピューターコードの間違いだけだという。

クマエビは、ちびっくり、あくまでも、あくまでも、あくまでも。

安全なコードがなぜ重要なのか、安全でないコードがもたらす影響、そして最も重要なのは、そもそもこれらの脆弱性をそれぞれのプログラミングフレームワークに書き込まないようにする方法について、誰も教えてくれなかったら、開発者はどのようにして安全なコードを書くべきなのでしょうか。

XML および XML スキーマの仕様には、複数のセキュリティ上の欠陥があります。同時に、これらの仕様は XML アプリケーションを保護するために必要なツールも提供します。XML スキーマは XML 文書のセキュリティを定義するのに使用しますが、さまざまな攻撃に利用される可能性があります。

名前の先頭に「」が付いた zip にファイルを挿入できます。

航空電子機器のコード1行を変更するコストは100万ドルで、実装には1年かかります。ボーイング737をベースとした機材を保有するサウスウエスト航空にとっては「破産」することになります。

Show 139: Matias Madouがセキュア開発トレーニングとソフトウェアセキュリティテストの研究について語る

Android のフルデバイス暗号化はすべてのデータを保護してストレージに書き込み、デバイスのロックが解除された後にのみ表示されます。セキュア・コード・ウォリアーから学びましょう。

場合によっては、ユーザーの十分な知識と同意を得てアクションが実行されていることをアプリケーションで検証できることが不可欠です。

カスタム権限を定義することで、アプリはそのリソースと機能を他のアプリと共有できます。

約95,000のアプリケーションにまたがる約30万人の開発者が、ソフトウェア・セキュリティ・イニシアチブ（SSI）の計画、実行、測定にBSIMM8を使用しています。

ユーザー名の列挙とは、ハッカーがブルートフォース攻撃を利用してユーザー名とパスワードの情報を取得することです。セキュア・コード・ウォリアーでユーザー名の列挙を回避する方法を学びましょう。

効果的な開発者セキュリティトレーニングを展開する方法に関する5つの重要な教訓

この研究の意義は、これまで報告されていなかった、多くの憂慮すべきセキュアコーディングの問題について、経験的証拠を提供したことです。

バグはまだ残っています。これはすぐに直せるものではない。過去数か月にわたって、バグ報奨金プログラムの一環として、何十もの企業や影響を受けたベンダーに連絡を取り、セットアップを修正してもらいました。

CIOが企業のアジャイル能力を積極的に構築するにつれて、安全なコーディングスキルはイノベーションの武器となり、持たないことは破壊の手段となるでしょう。

サイバーセキュリティについて経営幹部のトレーニングを行う場合でも、JAVA や C# の開発者がコーディングスキルを確保できるよう支援する場合でも、創造性、ゲーミフィケーション、そして楽しみの場があります。

開発者がJavaScriptでコーディングしているときにクロスサイトスクリプティングエラーを記述し、その欠陥を作成してから数分以内にそれを検出できる場合

卒業生であろうとベテランであろうと、すべての開発者が尋ねるべき質問があります。そして、その答えは重要です。

先週、セキュア・コーディング・ガイドラインを最新のものにするために、Java Springの脆弱性を調査していました。

x0rzという名前の研究者のツイートによると、2016年に話を進めると、セキュリティ研究者がEquifaxのメインWebサイトでクロスサイトスクリプティング（XSS）と呼ばれる一般的な脆弱性を発見しました。

この脆弱性は、Strutsがそのようなデータを解析して、Javaプログラミング言語で解釈できる情報に変換する方法に関係しています。

データ残留とは、何らかの方法で消去されたデータが物理的に残っている状態のことです。

繰り返しになりますが、Equifaxのハッキングの根本原因はWebアプリの脆弱性です。この種の脆弱性は10年以上前から存在していますが、今日でもなお重大な問題です。

Recently we interviewed some of the future leaders in the secure development or “DevSec” world and found their individual career paths into cybersecurity fascinating. For those of you out there wishing to become a security champion, jump into the elusive AppSec realm, or even just learn more about secure coding, here are the stories from three security professionals with a background in development, about how they got interested in security and the security lessons they wish every organization would follow.

Kamer van Koophandel（オランダ商工会議所）が、役割別の認定制度、Trust Scoreによるベンチマーク、そしてセキュリティを全員で担う文化を通じて、どのようにセキュアコーディングを日常の開発業務に組み込んだかをご紹介します。

PaysafeとSecure Code Warriorのパートナーシップにより、開発者の生産性が45%向上し、コードの脆弱性が大幅に削減された事例をご覧ください。

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Devlympics 2023のレポートで結果をご覧ください。参加した各業界における開発者のエンゲージメント、技術スタックや言語のトレンド、そしてSecure Code Warriorが主催するこの年次グローバルイベントで取り上げられた主要な脆弱性やCWEについて詳しく解説します。

Sageが柔軟かつ関係性を重視したアプローチでセキュリティを強化し、200名以上のセキュリティチャンピオンを育成して、測定可能なリスク低減を実現した事例をご紹介します。

WorkdayがSecure Code Warriorのアジャイル学習を通じて、どのように開発者トレーニングを変革したかをご紹介します。Workdayは、言語別の実践的な教育を開発者に提供することで、SDLCの初期段階における脆弱性を削減しました。セキュアなコード文化を構築するための、彼らの素晴らしい成果と重要なポイントをご覧ください。

本ケーススタディでは、タレス（Thales）がアジャイルなセキュアコーディング学習プログラムのために、人、プロセス、テクノロジーをどのように統合し、開発者が自発的にセキュリティチャンピオンとして活躍できる環境を構築したかをご紹介します。

小売大手コルゲート・パルモリーブが、デジタルトランスフォーメーションの過程でどのようにアプリケーションセキュリティを再構築したかをご紹介します。セキュアコーディングの課題に直面していた同社は、開発者のワークフローに短時間で学べるコンテキストに応じた学習を取り入れることで、アプローチを刷新しました。

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAGグループは、アジア太平洋地域をリードする数多くの保険会社を傘下に持ち、数百万人の顧客に対して年間約114億豪ドルの保険料で保険契約を引き受けています。

機械学習やサイバーセキュリティなど、多岐にわたる分野で実践的かつ最先端のスキルを数千人の従業員が習得できるよう支援する、社内技術教育イニシアチブの構築事例をご紹介します。

この包括的なケーススタディでは、Secure Code Warriorのトーナメントを活用して開発者の関与を促し、自動車ソフトウェアに影響を与える主要な脆弱性への意識を高め、複数の言語やフレームワークにわたる指標を収集した事例を紹介します。

Secure Code Warrior has launched Citizen AI, an AI literacy training programme for non-developer employees intended to support responsible AI adoption across business functions.

New AI literacy program equips non-developer employees with the judgment, risk awareness and responsible-use habits needed to safely adopt AI-powered workflows.

Secure Code Warrior announced Citizen AI by Secure Code Warrior, a new AI literacy program designed specifically for non-developer employees to help organizations build a workforce ready for responsible AI adoption. Citizen AI helps organizationsreduce AI-related human risk, support broader enterprise AI governance initiatives, increase employee confidence when using AI and accelerate the safe adoption of AI-powered workflows.

‍

Secure Code Warrior, a leader in AI software governance and developer security upskilling, today announced Citizen AI by Secure Code Warrior, a new AI literacy program designed specifically for non-developer employees to help organizations build a workforce ready for responsible AI adoption.

新しいAIリテラシープログラムにより、非開発職の従業員は、AIを活用したワークフローを安全に導入するために必要な判断力、リスク意識、責任ある利用習慣を身につけることができます。

Organizations are missing a big target when developing governance and developer training programs for AI-assisted software development.

AI software development continues to evolve at a rapid pace for developers and their teams. , CEO & Co-Founder at Secure Code Warrior, posits that as the norm shifts from human-written code to AI-assisted coding and agentic workflows, many security teams now face a critical challenge: managing the new risks that autonomous systems introduce.

‍

‍

The question facing software development shops isn’t whether Generative AI should be used to create software code, or whether the percentage of code generated by GenAI will increase in the near future. That horse bolted in the last 24 months. The question is how to maintain security and compliance while GenAI and artificial intelligence agents are putting software code in play.

Every September, National Insider Threat Awareness Month serves as a timely reminder that some of the most damaging security incidents don’t originate from external attackers breaching the perimeter — they come from within. Whether through malicious intent, negligence, or simple human error, insiders with legitimate access to systems, data, and facilities remain one of the most persistent and difficult-to-detect risks facing organizations today. As hybrid work, AI-powered tools, and increasingly complex IT environments reshape the workplace, the insider threat landscape continues to evolve in ways that demand fresh attention from security professionals.

With agentic AI further boosting productivity, human code review becomes a serious bottleneck. Developers need to move upstream, establishing the ground rules to ensure that AI plays by the rules.

​The cybersecurity industry, which has been advocating for “security by design” principles for more than a decade, stands in wide-eyed amazement at the risks posed by artificial intelligence (AI). As organizations rush to embrace AI enablement, a CISO’s most pressing priority is to avoid becoming a roadblock. However, without effective AI usage and governance, observability and traceability, organizations may be blindsided by their AI risk.​

Secure Code Warrior has introduced the SCW AI Adoption Model, a framework designed to help organisations govern AI use in software development as the industry shifts from the traditional software development lifecycle (SDLC) toward what the company calls the Agentic Development Lifecycle (ADLC).

With many software engineering teams moving from AI coding assistants into full agentic AI code generation and increasing the amount of code they produce exponentially, ensuring the security of that code must be a top priority. The study produces practical guidance for organizations that are getting on board the AI-assisted or agentic code development train.

Token use can create unexpected, sizeable costs for organizations.

AI enables faster development cycles and allows developers to focus on higher-value work. For many businesses, these efficiencies are becoming essential to remaining competitive. The challenge, therefore, is not whether to adopt AI, but how to do so responsibly. Businesses that invest in developer education, governance frameworks, AI observability and robust security controls will be better positioned to capture the benefits while limiting the associated risks.

The issue is no longer simply about protecting AI models themselves. Increasingly, attackers are focusing on the software ecosystem surrounding those models, including the development tools, middleware, open-source libraries, and automated deployment pipelines that organisations rely upon every day.

As we will unpack together, there is a lot of movement around the world, with some collaboration between nations, but the path forward is far from uniform or clear, particularly in business environments where AI adoption is often mandated before holistic safeguarding measures are in place.  

According to one expert, AI guardrails are not designed as “security boundaries” but rather to influence behaviour – but what if that behaviour is hacking one of your industry partners?

‍

Cyber security experts have warned that the breach of Hugging Face infrastructure during an OpenAI security evaluation marks a turning point in the risks posed by autonomous AI agents. In the incident, AI models moved beyond a controlled test and carried out a live, multi-stage intrusion against the AI platform.

AI-generated code introduces an average of 15 confirmed vulnerabilities per codebase, research published by Secure Code Warrior indicates.

Frontier AI is facing a PR crisis. After Hugging Face released a blog post on July 16 claiming an autonomous agent had breached its internal environment, OpenAI posted on July 21 that the incident occurred when GPT 5.6 Sol and a “pre-release model” escaped a controlled testing environment.

Secure Code Warrior research reveals AI-generated code introduces an average of 15 vulnerabilities per codebase.

‍

Secure Code Warrior introduced the SCW AI Trust Index, a living benchmark for AI coding security that grows with every new model, helping organizations understand and govern the security risks introduced by AI-generated code. Built on a methodology created with RMIT University, Australia, then extended by Secure Code Warrior, the research presents comprehensive benchmarks on how often leading LLMs produce insecure code, with material implications for every enterprise scaling AI-assisted development.

AI-generated code introduces 15 vulnerabilities on average per codebase, but the actual risk depends on framework pairing more than the model used.

New SCW AI Trust Index shows AI-generated coding risk is not random, it's predictable by model and framework, giving security leaders the data to safely scale AI-assisted development.

The challenges with AI implementation, constant updates, and the race for industry dominance are coming thick and fast, and security professionals are among the most affected by its vast risk profile.

The Australian government has said AI is very much in the country’s future national interest – but where does it stand today? Here’s what the industry’s best and brightest have to say about artificial intelligence and its role in the modern enterprise.

‍

The emergence of agentic AI marks a structural shift in software development, introducing systems that not only accelerate production cycles but also perform autonomous reasoning and action beyond direct human control.

As AI-generated code becomes commonplace, CISOs need new audit strategies to measure developer practices, govern AI tool usage, and identify software risks before they reach production.