Главная страницаКатегория pythonВеб-безопасность на Python: OWASP Top 10 и Agentic AI

Веб-безопасность на Python: OWASP Top 10 и Agentic AI

Name: Веб-безопасность на Python: OWASP Top 10 и Agentic AI
Price: 13 USD
Rating: 5 (2 reviews)

Python Web Security: OWASP Top 10 with Agentic AI Course

Talkpython

★5 (всего оценок - 2)

Продолжительность

5 ч 28 мин

Категория

Python

Количество уроков

126 Видео

Дата добавления

14 авг. 2026 г., 16:35

Язык

Английский

Безопасность веб-приложений долгое время оставалась областью, где глубокий аудит кода требовал привлечения дорогих специалистов по пентестингу. Но с развитием агентного ИИ ситуация меняется.

Недавний пример — исследование Mozilla, в рамках которого Claude проанализировал JavaScript runtime Firefox и обнаружил более 100 уязвимостей, включая 14 достаточно серьезных для получения CVE. Подобный подход теперь можно применять и к собственным Python-веб-приложениям.

Этот курс показывает, как системно искать и устранять уязвимости в Python-приложениях с помощью OWASP Top 10 2025 и агентного ИИ. Сначала вы подробно разберете все десять категорий OWASP на реальных уязвимых и исправленных примерах для Flask, Django и FastAPI. Затем создадите собственного AI-агента Security Lead на базе Claude Code, специально настроенного для аудита Python- и SaaS-приложений.

В финальной части агент будет применен к трем реальным open-source проектам — Apache Superset, Paperless-ngx и Kibitzr. Вы увидите полноценный процесс аудита: от поиска потенциальных проблем до анализа найденных уязвимостей, их исправления и формирования приоритетного списка задач.

Что делает этот курс особенным

Актуальный OWASP Top 10 2025 — разбор новой версии стандарта, включая появившуюся категорию Mishandling of Exceptional Conditions.
Собственный AI-агент для аудита — вы создадите Security Lead, которого сможете использовать в будущих проектах.
Реальные open-source аудиты — анализ Apache Superset, Paperless-ngx и Kibitzr проводится непосредственно на реальных кодовых базах.
Уязвимый и исправленный код — для каждой категории вы увидите, как выглядит проблема, почему она опасна и как ее корректно устранить.
Flask, Django и FastAPI — одни и те же классы уязвимостей рассматриваются на примерах трех популярных Python-фреймворков.
Фокус на SaaS и multi-tenancy — отдельное внимание уделяется IDOR, изоляции данных пользователей и предотвращению утечек между тенантами.
Agentic AI вместо «вайб-кодинга» — вы научитесь использовать AI-агента как системного помощника по безопасности, а не просто просить его «найти баги».
Контроль стоимости — на практике рассматривается, сколько может стоить аудит большой кодовой базы и как сделать расходы предсказуемыми.
Современный Python security toolbox — Argon2, MultiFernet, slowapi, loguru, pip-audit, Have I Been Pwned и другие инструменты.
Ответственное применение AI — вы узнаете, как использовать AI-аудиты корректно и почему не стоит автоматически отправлять разработчикам open-source проектов низкокачественные AI-generated PR.

Чему вы научитесь

После завершения курса вы сможете:

находить и исправлять все категории уязвимостей OWASP Top 10 2025 в Python-веб-приложениях;
выявлять Broken Access Control, включая IDOR, path traversal и отсутствие проверок доступа на уровне функций;
безопасно настраивать Docker Compose, Django и HTTP security headers;
защищать зависимости Python от атак на цепочку поставок с помощью uv pip compile и pip-audit;
интегрировать проверку зависимостей в CI/CD и Docker-сборки;
использовать Argon2 вместо слабых алгоритмов хеширования паролей;
безопасно ротировать ключи шифрования с помощью MultiFernet без простоя приложения;
защищаться от SQL injection, NoSQL injection и stored XSS;
использовать параметризованные запросы и корректное экранирование шаблонов;
применять серверную валидацию с помощью Pydantic;
реализовывать rate limiting и защиту от перебора учетных записей;
создавать безопасные политики паролей с проверкой скомпрометированных паролей через Have I Been Pwned;
строить защищенный password reset flow без user enumeration;
предотвращать mass-assignment атаки с помощью строгой сериализации;
безопасно работать со сторонними JavaScript и CSS-зависимостями;
внедрять структурированное security audit logging;
настраивать автоматические оповещения о подозрительной активности;
корректно обрабатывать исключения, не раскрывая пользователю внутренние детали приложения;
использовать SQLAlchemy transaction context managers для предотвращения частично выполненных операций;
проводить аудит multi-tenant SaaS-приложений на предмет утечек данных между пользователями;
создавать собственных Claude Code-агентов под конкретный стек и threat model;
подключать официальные материалы OWASP к AI-агенту, чтобы он опирался на проверенные источники;
проводить полноценный agentic security audit любой Python-кодовой базы;
превращать результаты аудита в приоритетный план исправлений;
использовать AI для исправления уязвимостей с сохранением понятного audit trail;
оценивать и контролировать стоимость AI-аудитов.

Программа курса

Введение и настройка инструментов

Вы познакомитесь со структурой курса, установите Claude Code и VS Code, настроите необходимые инструменты и подготовите исходный код для практических заданий.

OWASP #1 — Broken Access Control

Разбор IDOR, path traversal и отсутствующих проверок доступа на уровне функций. Практические примеры рассматриваются в FastAPI, Flask и Django.

OWASP #2 — Security Misconfiguration

Настройка Docker Compose, Django settings и HTTP security headers, включая HSTS, X-Frame-Options и Content Security Policy.

OWASP #3 — Software Supply Chain Failures

Защита Python-зависимостей с помощью uv pip compile, предотвращение установки потенциально скомпрометированных пакетов и интеграция pip-audit в CI и Docker builds.

OWASP #4 — Cryptographic Failures

Переход от быстрых и небезопасных алгоритмов хеширования к Argon2, безопасное хранение секретов и ротация ключей шифрования с помощью MultiFernet.

OWASP #5 — Injection

Защита от SQL injection, NoSQL injection в MongoDB/PyMongo и stored XSS в Jinja-шаблонах. Вы научитесь использовать параметризованные запросы и правильное экранирование данных.

OWASP #6 — Insecure Design

Реализация rate limiting и блокировки учетных записей с помощью slowapi. Отдельно рассматривается серверная проверка бизнес-правил с использованием Pydantic.

OWASP #7 — Authentication Failures

Создание надежной политики паролей, проверка скомпрометированных паролей, защита от перебора и безопасная реализация password reset без возможности определить существование учетной записи.

OWASP #8 — Software or Data Integrity Failures

Защита от mass-assignment атак, строгая настройка serializer fields и отказ от ненадежных внешних CDN в пользу размещения JavaScript и CSS в собственной инфраструктуре.

OWASP #9 — Logging and Alerting Failures

Создание структурированного security audit logging с помощью loguru и настройка оповещений о credential stuffing и другой подозрительной активности.

OWASP #10 — Mishandling of Exceptional Conditions

Безопасная обработка ошибок: пользователю возвращается минимальная информация, а полный контекст сохраняется на сервере с traceable reference ID. Также рассматривается использование SQLAlchemy transaction context managers для предотвращения частично выполненных операций.

Создание Security Lead — AI-агента для безопасности

Во второй части курса вы создадите полноценного Security Lead — специализированного Claude Code-агента объемом около 550 строк, настроенного на аудит Python- и SaaS-приложений.

Агент будет способен:

проводить OWASP-ориентированный аудит;
проверять изоляцию данных пользователей;
анализировать authentication и authorization;
проверять security logging;
формировать структурированный отчет;
ссылаться на канонические источники OWASP;
выделять наиболее критичные проблемы;
помогать превращать результаты анализа в конкретный план исправлений.

Главная идея заключается не в том, чтобы один раз запустить AI на проекте, а в том, чтобы создать повторяемый процесс безопасности, который можно применять к каждой новой кодовой базе.

Практические аудиты реальных проектов

После создания Security Lead агент будет протестирован на трех реальных open-source приложениях.

Kibitzr

Аудит старого Python-инструмента для мониторинга веб-сайтов. В процессе анализа рассматриваются реальные проблемы, включая возможность незаметного downgrade SMTP TLS, неограниченный размер HTTP-ответов и отсутствие timeout-защиты.

Apache Superset

Полноценный аудит крупного проекта Apache. Security Lead анализирует вопросы безопасности JWT guest tokens, логирования неудачных попыток входа и обработки CSV-экспортов.

Paperless-ngx

Аудит популярной системы управления документами. В ходе анализа обнаруживается проблема с неподписанным pickle в Redis-кэше, после чего рассматривается ее исправление с использованием уже существующих механизмов безопасности проекта.

Для кого этот курс

Курс подойдет:

Python-разработчикам, создающим production-приложения на Flask, Django или FastAPI;
SaaS-финдерам и indie hackers, которым необходимо надежно изолировать данные разных пользователей;
Senior-разработчикам и Tech Lead, которым нужен системный подход к security review;
разработчикам legacy Python-приложений, давно не проходивших полноценный аудит безопасности;
специалистам, которым необходимо документировать практики безопасности для compliance-процессов;
разработчикам, которые уже активно используют AI-инструменты и хотят применять их не только для написания кода, но и для профессионального security review.

Итог

Курс объединяет два важных направления: практическую безопасность Python-веб-приложений и агентный искусственный интеллект.

Вы не просто изучите OWASP Top 10 как теоретический список уязвимостей. Вы научитесь находить реальные проблемы в коде, понимать механизм атаки, применять безопасные исправления и автоматизировать значительную часть процесса с помощью собственного AI-агента.

В результате у вас будет не только понимание современных угроз Python-приложений, но и готовый Security Lead, который можно использовать для регулярного аудита собственных проектов и кодовых баз.

https://github.com/talkpython/python-web-owasp-top-10-with-agentic-ai-course

Это пробный урок. Оформите подписку, чтобы получить доступ ко всем материалам курса. Премиум

Урок 1. 00:03:21
Welcome to the course
Урок 2. 00:01:15
The OWASP Top 10 explained
Урок 3. 00:02:38
Claude Code and agentic AI
Урок 4. 00:01:19
Meet your instructor
Урок 5. 00:04:26
Installing your tools
Урок 6. 00:01:49
The presentation tools
Урок 7. 00:01:21
Getting the source code
Урок 8. 00:01:43
How we'll study each vulnerability
Урок 9. 00:03:54
Introducing broken access control
Урок 10. 00:02:07
IDOR- The scenario
Урок 11. 00:01:45
IDOR- Why it's dangerous
Урок 12. 00:02:17
IDOR- Vulnerable version
Урок 13. 00:02:35
IDOR- Secure version
Урок 14. 00:01:05
Path traversal- The scenario
Урок 15. 00:01:23
Path traversal- Why it's dangerous
Урок 16. 00:02:50
Path traversal- Vulnerable version
Урок 17. 00:02:00
Path traversal- Secure version
Урок 18. 00:00:48
Missing function-level auth- The scenario
Урок 19. 00:00:55
Missing function-level auth- Why it's dangerous
Урок 20. 00:01:22
Missing function-level auth- Vulnerable version
Урок 21. 00:01:46
Missing function-level auth- Secure version
Урок 22. 00:02:12
Introducing security misconfiguration
Урок 23. 00:03:13
Docker defaults- The scenario
Урок 24. 00:01:32
Docker defaults- Why it's dangerous
Урок 25. 00:01:36
Docker defaults- Vulnerable version
Урок 26. 00:02:28
Docker defaults- Secure version
Урок 27. 00:01:31
Debug mode in production- The scenario
Урок 28. 00:01:32
Debug mode in production- Why it's dangerous
Урок 29. 00:01:10
Debug mode in production- Vulnerable version
Урок 30. 00:02:03
Debug mode in production- Secure version
Урок 31. 00:01:11
Missing security headers- The scenario
Урок 32. 00:01:29
Missing security headers- Why it's dangerous
Урок 33. 00:01:14
Missing security headers- Vulnerable version
Урок 34. 00:02:00
Missing security headers- Secure version
Урок 35. 00:02:03
Introducing supply chain failures
Урок 36. 00:01:16
Unpinned dependencies- The scenario
Урок 37. 00:01:36
Unpinned dependencies- Why it's dangerous
Урок 38. 00:00:37
Unpinned dependencies- Vulnerable version
Урок 39. 00:02:16
Unpinned dependencies- Secure version
Урок 40. 00:01:27
Known vulnerabilities- The scenario
Урок 41. 00:01:21
Known vulnerabilities- Why it's dangerous
Урок 42. 00:04:08
Known vulnerabilities- Fixing vulnerable dependencies
Урок 43. 00:02:01
Introducing cryptographic failures
Урок 44. 00:01:05
Weak password hashing- The scenario
Урок 45. 00:01:30
Weak password hashing- Why it's dangerous
Урок 46. 00:00:54
Weak password hashing- Vulnerable version
Урок 47. 00:01:34
Weak password hashing- Secure version
Урок 48. 00:01:09
Hard-coded keys- The scenario
Урок 49. 00:01:44
Hard-coded keys- Why it's dangerous
Урок 50. 00:00:41
Hard-coded keys- Vulnerable version
Урок 51. 00:02:26
Hard-coded keys- Secure version
Урок 52. 00:01:29
SQL injection- The scenario
Урок 53. 00:01:13
SQL injection- Why it's dangerous
Урок 54. 00:02:09
SQL injection- Vulnerable version
Урок 55. 00:00:47
SQL injection- Secure version
Урок 56. 00:01:25
NoSQL injection too
Урок 57. 00:01:39
XSS- The scenario
Урок 58. 00:01:40
XSS- Why it's dangerous
Урок 59. 00:00:48
XSS- Vulnerable version
Урок 60. 00:01:00
XSS- Secure version
Урок 61. 00:00:53
XSS- Secure version (continued)
Урок 62. 00:01:48
Introducing insecure design
Урок 63. 00:02:15
No rate limiting- The scenario
Урок 64. 00:01:41
No rate limiting- Why it's dangerous
Урок 65. 00:00:56
No rate limiting- Vulnerable version
Урок 66. 00:02:40
No rate limiting- Secure version
Урок 67. 00:01:55
Client-side only enforcement- The scenario
Урок 68. 00:00:59
Client-side only enforcement- Why it's dangerous
Урок 69. 00:01:30
Client-side only enforcement- Vulnerable version
Урок 70. 00:01:57
Introducing authentication failures
Урок 71. 00:01:17
Weak password policies- The scenario
Урок 72. 00:00:54
Weak password policies- Why it's dangerous
Урок 73. 00:01:27
Weak password policies- Vulnerable version
Урок 74. 00:03:28
Weak password policies- Secure version
Урок 75. 00:01:18
Insecure password reset- The scenario
Урок 76. 00:01:18
Insecure password reset- Why it's dangerous
Урок 77. 00:01:55
Insecure password reset- Vulnerable version
Урок 78. 00:02:37
Insecure password reset- Secure version
Урок 79. 00:00:33
Introducing integrity failures
Урок 80. 00:02:05
Mass assignment- The scenario
Урок 81. 00:00:42
Mass assignment- Why it's dangerous
Урок 82. 00:01:14
Mass assignment- Vulnerable version
Урок 83. 00:00:52
Mass assignment- Secure version
Урок 84. 00:01:46
Untrusted CDNs- The scenario
Урок 85. 00:01:04
Untrusted CDNs- Why it's dangerous
Урок 86. 00:01:18
Untrusted CDNs- Vulnerable version
Урок 87. 00:03:39
Untrusted CDNs- Secure version
Урок 88. 00:00:36
Introducing logging and alerting failures
Урок 89. 00:01:18
No auth logging- The scenario
Урок 90. 00:01:00
No auth logging- Why it's dangerous
Урок 91. 00:01:40
No auth logging- Vulnerable version
Урок 92. 00:02:27
No auth logging- Secure version
Урок 93. 00:01:27
No monitoring- The scenario
Урок 94. 00:00:44
No monitoring- Why it's dangerous
Урок 95. 00:01:07
No monitoring- Vulnerable version
Урок 96. 00:02:19
No monitoring- Secure version
Урок 97. 00:00:47
Introducing mishandling of exceptional conditions
Урок 98. 00:01:50
Verbose error messages- The scenario
Урок 99. 00:00:59
Verbose error messages- Why it's dangerous
Урок 100. 00:01:07
Verbose error messages- Vulnerable version
Урок 101. 00:01:46
Verbose error messages- Secure version
Урок 102. 00:01:57
Missing transactions- The scenario
Урок 103. 00:00:31
Missing transactions- Why it's dangerous
Урок 104. 00:01:29
Missing transactions- Vulnerable version
Урок 105. 00:03:08
Missing transactions- Secure version
Урок 106. 00:02:14
Why 13 markdown files matter
Урок 107. 00:01:22
Meet the security lead
Урок 108. 00:05:25
Core components of the security lead agent
Урок 109. 00:05:19
The security lead markdown file
Урок 110. 00:05:42
Choosing our target applications
Урок 111. 00:02:33
Setting up the projects
Урок 112. 00:05:05
Setting up Kibitzr
Урок 113. 00:13:14
Analyzing Kibitzr with our agent
Урок 114. 00:13:30
Reviewing the security report
Урок 115. 00:08:10
Fixing the SMTP TLS issue
Урок 116. 00:15:16
Fixing tier 1 issues 2, 3, and 4
Урок 117. 00:05:43
Analyzing Superset with our agent
Урок 118. 00:02:40
Analysis complete
Урок 119. 00:11:25
Reviewing the security report_2
Урок 120. 00:02:51
The hardening launch list
Урок 121. 00:06:38
Reviewing the logging overview
Урок 122. 00:08:45
Adding the guest JWT check feature
Урок 123. 00:05:28
Analyzing the Paperless-ngx Project
Урок 124. 00:13:32
Running a Security Review on Paperless-ngx
Урок 125. 00:06:12
Fixing the RCE from Unsafe Redis Pickle Deserialization
Урок 126. 00:11:23
Lightning Review

Автор - Talkpython

Talkpython

Talk Python Training - это ведущая онлайн-тренинговая компания, основанная в 2016 году с явной целью обеспечения высококачественного, глубоко технического обучения Python.

+53

Комментарии