Building Agentic Security Reviewers for Scaling — Proaktives Security Engineering in AI-gestützte Entwicklungs Workflows

Ziele der Schulung

In diesem 2-tägigen Seminar „Building Agentic Security Reviewers for Scaling – Proaktives Security Engineering in AI-gestützte Entwicklungs-Workflows“ lernen die Teilnehmenden, wie sich Security Reviews für AI-gestützte Entwicklungsprozesse skalierbar, reproduzierbar und messbar gestalten lassen. Sie verstehen, warum klassische manuelle Review-Ansätze bei steigender Nutzung von AI-Coding-Assistenten und wachsendem Code-Volumen an ihre Grenzen stoßen und wie agentische Security Reviewer als zusätzliche Qualitätssicherung im modernen DevSecOps-Umfeld eingesetzt werden können.

Nach dem Training sind Sie in der Lage:

• AI-generierte Diffs, Pull Requests und Design-Artefakte (API-Spezifikationen, ADRs) mit konsistenter Qualität zu reviewen.
• Agent-as-Judge-Systeme einzurichten und zu kalibrieren.
• Review-Loops und einen Review-Agent-Harness aufzubauen und zu betreiben.
• Threat Models sowie OWASP AISVS 1.0 und OWASP ASVS in Review-Rubriken zu überführen.
• Review-Qualität anhand geeigneter Kennzahlen zu messen.
• Design Patterns zu nutzen, um typische AI-Code-Fehler systematisch zu erkennen.

Mitnahme/Artifakte aus dem Training:

• Review Copilot Instructions (Judge Prompts, Exploitability-Checklisten)
• Judge-Rubriken auf Basis von OWASP AISVS und ASVS
• Kalibrierungs-Log (Agreement-Matrix, False Positives, Missed Findings)
• Rollout-Plan für den Einsatz eines Review-Agenten

Zielgruppe Seminar

• Security Engineers und Application Security Architects, die Sicherheitsanforderungen in Softwareentwicklungsprozessen bewerten und Security Reviews durchführen
• Software-Architekten sowie Staff und Principal Engineers, die Verantwortung für Architekturentscheidungen, Code-Qualität und Security Reviews tragen
• DevSecOps Engineers, die automatisierte Security-Reviews und Sicherheitsprüfungen in Entwicklungsprozesse integrieren möchten
• Platform Engineers und OSS-Maintainer, die große Codebasen, viele Pull Requests oder wiederkehrende Review-Prozesse effizient und skalierbar absichern müssen
• Technische Verantwortliche für Softwarequalität und Secure Development, die Review-Prozesse standardisieren und automatisieren möchten

Voraussetzungen

• Praktische Erfahrung mit AI-Coding-Tools im Alltag — mindestens eines von: Claude Code, Cursor, GitHub Copilot, Codex oder vergleichbare Assistenten
• Eigenes Tool mitbringen: AI-Coding-Tool der Wahl — inkl. ausreichend Tokens/Credits für Hands-on-Labs (z. B. mindestens Cursor Pro, vergleichbares Paid-Tier oder equivalentes API-Budget)
• Erfahrung mit mindestens einem Security-Review-Kontext (Code Review, Threat Modelingoder Pentest-Findings)
• Grundverständnis von Web- und Cloud-Architekturen (APIs, Identity, Datenflüsse)

Seminarinhalt

Review-Qualität verstehen und messbar machen

1. Ausgangslage: Velocity vs. Security Review

• Wachstum AI-generierten Codes und Auswirkungen auf Review-Backlogs
• Grenzen manueller Reviews bei hohem Pull-Request-Volumen
• Shift Left vs. Shift Everywhere

Hands-on Lab 1 – Baseline: Manueller Review:

• AI-generierten Pull Request analysieren
• Review-Backlog kartieren
• Baseline-Score ermitteln

2. Proaktives Security Engineering & Requirements für Reviews

• Security by Design aus Sicht des Reviewers
• OWASP ASVS und OWASP AISVS als Grundlage für Review-Rubriken
• Verification Levels L1–L3
• Threat Modeling
• Typische Fehlklassen strukturieren

Hands-on Lab 2 – Threat Model → Review-Rubric:

• Mini-Threat-Model erstellen
• Anforderungen aus AISVS/ASVS auswählen
• Review-Checklisten entwickeln

3. Design Patterns & Review Rules

• Architektur-Patterns als Review-Signale
• AI-spezifische Anti-Patterns erkennen
• Policy-as-Code als skalierbare Kontrollschicht
• Agent-as-Judge als automatisierte Unterstützung

Hands-on Lab 3 – Review Copilot Instructions entwickeln:

• Judge-Prompts entwickeln
• Exploitability-Checks erstellen
• Instructions gegen den Baseline-Diff testen
• False Positives und Missed Findings dokumentieren

Review-Agent bauen, kalibrieren und skalieren

4. Agentische Security Reviewer & Agent-as-Judge

• Agentisches Arbeiten
• Trennung zwischen Coding-Agent und Review-Agent
• Judge-Design
• Review-Pipeline
• Halluzinationen und Human-in-the-Loop

Hands-on Lab 4:

• Review-Agent konfigurieren
• Judge-Rubriken koppeln
• Agreement-Matrix erstellen

5. Review-Loop & Review-Agent-Harness

• Review-Loop
• Feedback-Loop
• Review-Agent-Harness
• Metriken

Hands-on Lab 5:

• Review-Loop durchführen
• Review-Agent konfigurieren
• Kennzahlen erfassen
• Review Instructions optimieren

6. Skalierung, Governance & Rollout

• Rollout in Teams
• KPIs für Security Reviews
• AISVS und ASVS als Audit-Basis
• Kontinuierliche Verbesserung

Hands-on Lab 6:

• Agentic Review Pipeline entwickeln
• Policies definieren
• Eskalationsregeln festlegen
• Review-Agent-Paket fertigstellen

Ergebnis:

• Review Copilot Instructions
• Judge-Rubriken
• Agreement-Matrix
• Rollout-Plan

Hinweise

Weitere Hinweise

Wenn Sie zusätzlich lernen möchten, wie AI-Coding-Assistenten sicher entlang des gesamten DevSecOps-Lifecycles – von Prompt über IDE, CI/CD und Deployment bis zur Governance – eingesetzt werden, empfehlen wir die ergänzende Schulung „AI Code Generation im DevSecOps Lifecycle“.

Open Badge für dieses Seminar - Ihr digitaler Kompetenznachweis

Durch die erfolgreiche Teilnahme an einem Kurs bei IT-Schulungen.com erhalten Sie zusätzlich zu Ihrem Teilnehmerzertifikat ein digitales Open Badge (Zertifikat) – Ihren modernen Nachweis für erworbene Kompetenzen.

Ihr Open Badge ist jederzeit in Ihrem persönlichen und kostenfreien Mein IT-Schulungen.com-Konto verfügbar. Mit wenigen Klicks können Sie diesen digitalen Nachweis in sozialen Netzwerken teilen, um Ihre Expertise sichtbar zu machen und Ihr berufliches Profil gezielt zu stärken.

Übersicht: KI Coding & KI Softwareentwicklung Schulungen Portfolio

Mehr zu den Vorteilen von Badges

Gesicherte Kurstermine

Seminare kurz vor der Durchführung