Når AI skriver koden, skal sikkerheden gentænkes

AI-genereret kode ændrer hurtigt den måde, software udvikles på. For ikke så længe siden krævede softwareudvikling dybdegående teknisk ekspertise, mange timers arbejde og linjer manuelt skrevet kode. I dag kan en simpel prompt udføre meget af det samme arbejde på få sekunder.

Det, der undertiden kaldes vibe-kodning, hvor udviklere instruerer AI-modeller i at generere kode i stedet for at skrive den selv, ændrer hurtigt den måde, software bygges på. Det gør udvikling hurtigere, mere tilgængelig og mere effektiv. For mange organisationer er det en selvfølge: hurtigere lanceringer, højere produktivitet og et innovationstempo, der tidligere var vanskeligt at opnå.

Men i takt med at mere og mere kodeproduktion overlades til maskiner, opstår der også et afgørende spørgsmål: Hvis vi ikke længere selv skriver koden, hvordan ved vi så, at den er sikker?

Kode er aldrig kun funktionalitet. Det er også en potentiel sårbarhed.

Efterhånden som AI-genereret kode bliver mere almindelig, øges risikoen for, at sårbarheder introduceres i organisationers miljøer, også. Det, der tidligere ofte var et spørgsmål om menneskelige fejl, kan nu skabes systematisk og i stor skala.

Forskning fra Armis Labs viser hvor alvorligt problemet virkelig er. I en række kritiske udviklingsscenarier mislykkedes det alle førende generative AI-modeller at producere sikker kode. Selv nyere og mere avancerede modeller, såsom Gemini og Claude, genererede sårbar kode i mere end 30 procent af tilfældene. Svaghederne lå inden for områder som godkendelse, filhåndtering og hukommelsesstyring. Problemet ligger dog ikke kun i selve koden, men også i hvor hurtigt vi begynder at stole på den.

Efterhånden som AI-genereret kode, tredjepartskomponenter og åbne biblioteker bliver en stadig vigtigere del af udviklingsarbejdsgangen, er mange organisationer afhængige af kode, de ikke har skrevet, og som de ofte ikke kan gennemgå fuldt ud, hvilket skaber en voksende kløft mellem opfattet og faktisk sikkerhed.

Undersøgelser, vi bestilte, viser, at 77 procent af organisationerne har tillid til integriteten af tredjepartskode, der bruges i deres mest kritiske applikationer. Et lige så stort antal mener, at AI-assisteret kode er korrekt undersøgt for alvorlige sårbarheder. Samtidig mangler mange organisationer fuldt indblik i, hvordan koden blev oprettet, hvilke komponenter den er bygget på, og hvordan den rent faktisk er blevet gennemgået.

Det er en farlig kombination. Kode genereres hurtigere, end den kan sikres, og den kan stoles på hurtigere, end den kan verificeres.

Dette ændrer også trusselsbilledet. Enhver ny funktion, integration eller afhængighed kan skabe en ny rute for angribere. Sårbarheder eksisterer sjældent isoleret. De forbinder applikationer, miljøer, leverandører og systemer på måder, der er vanskelige at se, og hvor traditionel applikationssikkerhed ikke er nok. Mange ældre arbejdsmetoder er baseret på en udviklingsmodel, hvor kode skrives, gennemgås og implementeres i klare trin. AI-baseret udvikling fungerer anderledes – den er baseret på kontinuerlig generering, hurtig iteration og en hurtigt voksende mængde kode.

Resultatet er ikke kun flere sårbarheder, men også mindre klarhed. Sikkerhedsteams præsenteres for flere fund at håndtere, men ofte for lidt kontekst til at forstå, hvilke svagheder der rent faktisk betyder mest.

Det betyder, at organisationer skal bevæge sig fra blot at lede efter fejl til at forstå den faktiske eksponering. Det er ikke nok at vide, at en sårbarhed eksisterer, man skal også forstå, hvilke systemer den påvirker, hvordan den forbinder sig med andre svagheder, og hvilken faktisk forretningsrisiko den skaber, hvilket kræver bedre indsigt i hele softwarekæden. Organisationer skal vide, hvordan applikationer er bygget, hvilke eksterne komponenter de bruger, og hvordan disse forbinder sig med andre miljøer. Dette gælder for AI-genereret kode, open source-kode, tredjepartsintegrationer og den infrastruktur, som alt dette hviler på.

Så den virkelige udfordring er ikke kun mængden af sårbarheder. Det er, hvordan de er forbundet.

I takt med at AI ændrer, hvordan software bygges, skal sikkerhed også ændres. I et AI-baseret udviklingsmiljø skabes risiko ikke længere linje for linje, men gennem systemer, komponenter og forbindelser, der ofte er usynlige, indtil noget går galt.

Spørgsmålet er derfor ikke, om vi kan stole på de maskiner, der skriver koden, men hvordan vi håndterer den risiko, der følger med den tillid. Sikkerhed kan ikke længere være baseret på antagelsen om, at koden er sikker. Den skal være baseret på forståelse af, hvor eksponeringen er, hvordan den er forbundet, og hvad den rent faktisk kan påvirke.

Nadir Israel, koncerndirektør hos Armis fra ServiceNow