KI-Coding wird zur riskanten Norm

Der Report „Future of Application Security in the Era of AI“ zeigt: Unternehmen generieren inzwischen bis zu 60 Prozent ihres Codes mit KI-Coding-Assistenten, obwohl 20 Prozent deren Nutzung offiziell untersagen. Die Folge: 81 Prozent der Unternehmen stellen unsicheren Code bereit. [...]

Checkmarx hat vor Kurzem die Ergebnisse des jährlichen Reports „Future of Application Security in the Era of AI“ veröffentlicht. Die Studie zeichnet ein umfassendes Bild davon, wie KI-gestützte Softwareentwicklung die Risikolandschaft nachhaltig verändert – und gibt konkrete Handlungsempfehlungen für das kommende Jahr. Befragt wurden rund 1.500 CISOs, AppSec-Verantwortliche und Entwickler:innen aus Nordamerika, Europa und dem asiatisch-pazifischen Raum. Ziel war es, besser nachzuvollziehen, wie Unternehmen in einer zunehmend von maschinell erzeugter Software geprägten Welt agieren.

Die Ergebnisse machen deutlich: KI-generierter Code etabliert sich zunehmend als neuer Standard, doch die Governance hält mit dieser Entwicklung nicht Schritt. Die Hälfte der Befragten nutzt bereits KI-gestützte Secure-Coding-Assistenten, und 34 Prozent geben an, dass mehr als 60 Prozent ihres Codes von KI generiert wird. Zeitgleich verfügen nur 18 Prozent der Unternehmen über klare Richtlinien zur Nutzung solcher Tools. Mit der wachsenden Nutzung von KI-Coding-Assistenten schwindet die Verantwortung der Entwickler:innen – und die Angriffsfläche vergrößert sich.

Unternehmen stellen wissentlich unsicheren Code bereit

Der Report zeigt darüber hinaus, dass wirtschaftlicher Druck riskante Praktiken zunehmend normalisiert. 81 Prozent der befragten Unternehmen stellen wissentlich unsicheren Code bereit, und 98 Prozent waren im vergangenen Jahr von einem damit verbundenem Sicherheitsvorfall betroffen – ein deutlicher Anstieg gegenüber 91 Prozent im Jahr 2024.

Für die kommenden 12 bis 18 Monate rechnen 32 Prozent der Befragten mit Sicherheitsvorfällen bei Application Programming Interfaces (APIs) – etwa durch Schatten-APIs oder Business-Logic-Angriffe. Dennoch setzt weniger als die Hälfte der Unternehmen auf grundlegende Schutzmaßnahmen wie Dynamic Application Security Testing (DAST) oder Infrastructure-as-Code-Scanning. Während DevSecOps in der Branche intensiv diskutiert wird, nutzt nur die Hälfte der Befragten zentrale Tools – und lediglich 51 Prozent der befragten Unternehmen haben bislang eine DevSecOps-Strategie implementiert.

„Eine explosive Mischung“

„Angesichts des hohen Tempos der KI-gestützten Entwicklung darf Sicherheit nicht länger ein bloßes Anhängsel sein. Sie muss vom Code bis in die Cloud mitgedacht und integriert werden“, betont Eran Kinsbruner, Vice President Portfolio Marketing bei Checkmarx. „Unsere Untersuchungen zeigen, dass Entwickler:innen schon heute große Teile ihres Codes von KI generieren lassen, obwohl es in den meisten Unternehmen an Governance mangelt. Kombiniert mit der Tatsache, dass 81 Prozent aller Befragten wissentlich unsicheren Code bereitstellen, entsteht eine explosive Mischung – und es ist nur eine Frage der Zeit, bis es zum großen Knall kommt.“

Der Report skizziert darüber hinaus zentrale strategische Schritte auf dem Weg zu ganzheitlicher Anwendungssicherheit: Unternehmen müssen vom Bewusstsein zum Handeln übergehen, „Code-to-Cloud“-Sicherheitsmaßnahmen verankern, eine klare Governance für den Einsatz von KI in der Entwicklung definieren, Security-Tools konsequent operationalisieren und Teams auf die „Agentic AI in AppSec“-Ära vorbereiten. Nicht zuletzt gilt es, eine Unternehmenskultur zu fördern, die Entwickler:innen stärkt und ihnen Verantwortung für Sicherheit überträgt.

„Wer den Risiken immer einen Schritt voraus sein will, braucht präventive Security-Tools“, so Kinsbruner weiter. „Ebenso wichtig sind eine klare Governance für den Einsatz von KI und gezielte Investitionen in Agentic AI – auf diese Weise werden mögliche Probleme in Echtzeit erkannt und automatisch behoben. KI-generierter Code wird sich künftig noch stärker durchsetzen. Unternehmen, die angesichts dieses Wandels sichere Software bereitstellen, verschaffen sich einen entscheidenden Wettbewerbsvorteil.“

Umfassender Schutz vom Code bis in die Cloud

Patrick Siffert, Regional Director DACH & Iberia bei Checkmarx, ergänzt: „Unternehmen in Deutschland, Österreich und der Schweiz entwickeln ihre Technologien in einem nie dagewesenen Tempo weiter. Die Hälfte der Befragten nutzt bereits KI-Coding-Assistenten – gleichzeitig geben 88 Prozent an, wissentlich unsicheren Code bereitzustellen. Angesichts der zunehmenden Nutzung von KI, Cloud-Technologien und IIoT müssen CISOs und AppSec-Teams Sicherheit als strategische Priorität behandeln. Wir brauchen umfassenden Schutz vom Code bis in die Cloud sowie eine klare Governance für KI-generierten Code, um unsere Innovationen zuverlässig zu schützen.“

Die Veröffentlichung des Reports folgt auf die Ankündigung des Developer Assist Agent, der Erweiterungen für etablierte KI-native Integrated Development Environments (IDEs) wie Windsurf by Cognition, Cursor und GitHub Copilot bietet. Das Tool – das erste in einer Reihe von Agentic-AI-Lösungen zur Verbesserung der Sicherheit für Entwickler:innen, AppSec-Verantwortliche und CISOs – unterstützt Entwickler:innen direkt in ihrer IDE mit kontextbezogener Prävention, automatisierter Behebung und konkreten Handlungsempfehlungen in Echtzeit.