Secure AI SDLC - Artik Lab

Il problema che risolve

Le applicazioni AI introducono superfici di rischio nuove: prompt injection, data leakage, abuso del contesto, output non affidabili, dipendenze non governate, log sensibili e automazioni troppo permissive. Il corso struttura un SDLC sicuro per sistemi AI.

Durata: 4-6 ore, personalizzabili
Modalità: Laboratorio in presenza o online, con esercizi guidati e materiali adattati al cliente.
Profilo: Per team tecnici con basi di programmazione e architetture software.
Output finale: Threat model AI, cioè la mappa delle minacce, e checklist Secure AI SDLC.

Destinatari

Security engineer, AppSec, DevSecOps, software team, architect, risk manager tecnici, responsabili IT e compliance tecnica.

Quando sceglierlo

Quando un'organizzazione sta sviluppando applicazioni AI e vuole evitare che sicurezza e governance arrivino solo alla fine.

Risultati concreti

Definire controlli SDLC AI-specifici.
Costruire il threat model, la mappa delle minacce.
Scrivere secure design checklist.
Impostare policy su dati e istruzioni.
Stabilire test di sicurezza e criteri di rilascio.

Programma

1
Rischi AI nel software
Minacce, abuso, confini e responsabilità.
2
Secure design
Data flow, trust boundaries, autorizzazioni e isolamento.
3
Secure build & test
Injection, output validation, test avversariali e dipendenze.
4
Secure release & operate
Logging, audit, incident response e change management.

Esercitazioni pratiche

Threat modeling di feature AI.
Analisi data flow.
Definizione controlli.
Test di prompt injection.
Review policy logging e accesso dati.

Materiali consegnati

AI threat model template.
Secure AI SDLC checklist.
Test plan sicurezza.
Registro rischi.
Criteri go/no-go.

Dati, privacy e limiti

Adotta dati sintetici o casi approvati e tratta minimizzazione, segregazione, segreti, permessi, audit trail e riduzione esposizione nei log.

Prerequisiti

Conoscenza base di SDLC, sicurezza applicativa, API e architetture software.

Corsi collegati

Tecnico60-90 minuti o modulo breve

Ricerca semantica e knowledge base AI

Modulo per rendere archivi e conoscenza aziendale cercabili per significato, con gli embeddings: rappresentazioni numeriche del significato di un testo, base dei progetti AI che rispondono sui documenti.

Sceglierlo se: Quando cercare in archivi e procedure è lento o inaffidabile, e serve un accesso alla conoscenza più preciso.
Profilo: Per team tecnici con basi di programmazione e architetture software.
Output finale: Blueprint della knowledge base semantica: lo schema dell'archivio di conoscenza e i criteri per renderlo cercabile.

Programma, output e prerequisiti

Tecnico5 ore, 2 lezioni da 2,5 ore

RAG Engineering per sistemi AI affidabili

Corso tecnico per passare da una chat sui documenti a sistemi RAG (Retrieval-Augmented Generation): recupero delle fonti, qualità misurabile e controllo.

Sceglierlo se: Quando esistono knowledge base, documentazione tecnica, procedure, ticket, contratti o repository da rendere interrogabili senza perdere controllo su fonti e qualità.
Profilo: Per team tecnici con basi di programmazione e architetture software.
Output finale: Architettura RAG target (il sistema di risposta sulle fonti da costruire), evaluation set (l'insieme di prove con cui si misura la qualità) e checklist production-ready, cioè la lista di controllo prima dell'uso reale.

Programma, output e prerequisiti

Tecnico4 ore, 2 lezioni da 2 ore

AI Coding Agents per team software

Corso tecnico per usare agenti AI come componenti controllati del ciclo software: sviluppo, revisione, test e rilascio, con responsabilità dichiarate.

Sceglierlo se: Quando un team vuole gli agenti di coding dentro repository, revisione, test e rilascio, non come uso occasionale.
Profilo: Per team tecnici con basi di programmazione e architetture software.
Output finale: Playbook agentico — il manuale operativo per usare gli agenti nello sviluppo, nella revisione, nei test e nelle regole del repository.

Programma, output e prerequisiti

FAQ

È un corso compliance?

È principalmente tecnico, ma produce evidenze utili per governance e audit.

Copre solo prompt injection?

No, include architettura, dati, permessi, log e test.

È utile prima dello sviluppo?

Sì, il massimo valore arriva in fase di design.

Dipende da uno stack?

No, i controlli si adattano allo stack.

Contatti

Una conversazione breve basta per capire da dove partire.

La prima conversazione dura 30 minuti, è gratuita e serve a chiarire processo, obiettivo, dati disponibili, vincoli e prossima azione utile: formazione, consulenza, avvio operativo, analisi dati o prototipo tecnico controllato.

Scrivere a dtr@ar-tik.com