Entwickler sehen KI-generierten Code als Sicherheitsrisiko

Laut einer Umfrage von Checkmarx nutzen so gut wie alle Entwickler-Teams KI, um Code zu generieren. 80 Prozent der Entwickler befürchten allerdings, dass KI-generierter Code ein Sicherheitsrisiko darstellt. [...]

Checkmarx, Anbieter im Bereich Cloud-native Application Security, hat den neuen Report „Sieben Schritte zur sicheren Nutzung generativer KI in der Application Security“ veröffentlicht. Der Bericht analysiert die wichtigsten Bedenken, die Verwendungsarten und das Einkaufsverhalten rund um die KI-gestützte Software-Entwicklung in Unternehmen. Im Fokus der weltweiten Studie steht das Spannungsverhältnis, in dem CISOs heute agieren: Einerseits stehen sie unter hohem Druck, den Entwickler- und den AppSec-Teams die Produktivitätssteigerungen durch KI-Tools zu erschließen, andererseits sollen sie aber mithilfe klarer Governance-Vorgaben die Sicherheitsrisiken beim Einsatz der neuen Technologie minimieren.

„Die CISOs der Unternehmen stehen vor der Herausforderung, die Gefahren beim Einsatz generativer KI zu bewerten und zu minimieren, ohne Innovationen zu behindern und den Fortschritt in ihrem Unternehmen zu bremsen“, erklärt Sandeep Johri, CEO von Checkmarx. „Generative KI kann überlasteten Entwickler-Teams helfen, erfolgreich zu skalieren und schneller mehr Code zu generieren. Aber neue Probleme wie halluzinierende KIs bereiten auch den Weg für neue Risiken, die sich derzeit nur schwer quantifizieren lassen. Checkmarx hat die Gefahren, die mit KI-generiertem Code einhergehen, korrekt antizipiert – und wir sind stolz, dass wir mit der Checkmarx One Platform auch schon eine neue Generation von Lösungen präsentieren können.“

Wichtige Erkenntnisse der Studie

Zu den Highlights der weltweiten KI-Studie gehören folgende Erkenntnisse, die ausnahmslos belegen, wie schwer es ist, konsistente Governance-Richtlinien zu etablieren und durchzusetzen:

• Nur 29 Prozent aller Unternehmen haben eine Form von Governance implementiert.
• 15 Prozent der Befragten untersagen ausdrücklich die Verwendung von KI-Tools zur Code-Generierung in ihren Unternehmen.
• 99 Prozent berichten, dass – unabhängig von eventuellen Verboten – KI-Tools zur Code-Generierung verwendet werden.
• 70 Prozent geben an, es gäbe keine zentralisierte Strategie für den Umgang mit generativer KI, und entsprechende Einkaufsentscheidungen würden ad-hoc von Fachabteilungen getroffen.
• 60 Prozent befürchten GenAI-Angriffe, etwa KI-Halluzinationen.
• 80 Prozent sorgen sich mit Blick auf Sicherheitsbedrohungen, die aus der Verwendung von KI-Tools auf Seiten der Entwickler entstehen.

Erklärtes Ziel vieler CISOs ist es, angemessene Governance-Vorgaben zu definieren, um den Entwickler-Teams die Verwendung KI-gestützter Coding-Tools gestatten zu können. Die Security-Verantwortlichen kennen das Potenzial dieser Technologie und wissen, wie einfach, flexibel und nützlich sie ist, wenn es gilt, die Anwendungsentwicklung in einer unter enormem Zeitdruck agierenden Business-Umgebung zu beschleunigen und zu skalieren.

KI derzeit nicht in der Lage wirklich sicheren Code zu produzieren

Allerdings ist generative KI aktuell nicht in der Lage, die etablierten Secure Coding Practices zu befolgen und wirklich sicheren Code zu produzieren. Einige Security-Teams haben dies zum Anlass genommen, KI-gestützte Security-Tools zu integrieren, um damit den Wildwuchs an KI-generiertem Code besser managen zu können. Die Checkmarx-Studie stellt fest, dass 47 Prozent der Befragten darüber nachdenken, KI-Lösungen zu implementieren, die eigenmächtig Veränderungen an Code vornehmen können. 6 Prozent geben an, dass sie einer KI, die Security-Abläufe in bestehenden Herstellerlösungen beeinflusst, kein Vertrauen entgegenbringen würden.

„Die Antworten der weltweiten CISO-Community belegen, dass die meisten Entwickler heute KI-Tools für die Anwendungsentwicklung nutzen, obwohl diese nicht zuverlässig sicheren Code erzeugen können. Im Umkehrschluss bedeutet das, dass die Security-Teams eine Flut von neuem, unsicherem Code bewältigen müssen“, so Kobi Tzruya, Chief Product Officer bei Checkmarx. „Die Security Teams sind daher mehr denn je auf eigene produktivitätssteigernde Tools angewiesen, mit denen sie Schwachstellen managen, korrelieren und priorisieren können, wie es zum Beispiel unsere Platform Checkmarx One ermöglicht.”