Wenn KI den Code schreibt, muss das Sicherheitskonzept überdacht werden.

KI-generierter Code verändert die Softwareentwicklung rasant. Noch vor nicht allzu langer Zeit erforderte Softwareentwicklung tiefgreifendes technisches Fachwissen, viele Arbeitsstunden und unzählige Zeilen manuell geschriebenen Code. Heute kann eine einfache Eingabeaufforderung einen Großteil derselben Arbeit in Sekundenschnelle erledigen.

Das sogenannte Vibe Coding, bei dem Entwickler KI-Modelle anweisen, Code zu generieren, anstatt ihn selbst zu schreiben, verändert die Softwareentwicklung rasant. Es beschleunigt, vereinfacht und optimiert die Entwicklung. Für viele Unternehmen ist es längst selbstverständlich: schnellere Markteinführungen, höhere Produktivität und ein Innovationstempo, das zuvor kaum zu erreichen war.

Doch da die Codeerstellung zunehmend an Maschinen ausgelagert wird, stellt sich auch eine entscheidende Frage: Wenn wir den Code nicht mehr selbst schreiben, wie können wir dann sicher sein, dass er sicher ist?

Code ist niemals nur Funktionalität. Er birgt auch potenzielle Sicherheitslücken.

Mit der zunehmenden Verbreitung von KI-generiertem Code steigt auch das Risiko, dass Sicherheitslücken in die IT-Systeme von Unternehmen eingeschleust werden. Was früher oft auf menschliches Versagen zurückzuführen war, kann nun systematisch und in großem Umfang entstehen.

Forschungsergebnisse Armis Labs Dies zeigt, wie gravierend das Problem tatsächlich ist. In einer Reihe kritischer Entwicklungsszenarien versagten alle führenden generativen KI-Modelle darin, sicheren Code zu erzeugen. Noch neuere und fortschrittlichere Modelle wie Gemini und Claude., In über 30 Prozent der Fälle wurde anfälliger Code generiert. Die Schwachstellen betrafen Bereiche wie Authentifizierung, Dateiverarbeitung und Speichermanagement. Das Problem liegt jedoch nicht nur im Code selbst, sondern auch darin, wie schnell wir ihm vertrauen.

Da KI-generierter Code, Komponenten von Drittanbietern und Open-Source-Bibliotheken einen immer wichtigeren Teil des Entwicklungsprozesses ausmachen, verlassen sich viele Organisationen auf Code, den sie nicht selbst geschrieben haben und oft auch nicht vollständig überprüfen können. Dadurch entsteht eine wachsende Kluft zwischen wahrgenommener und tatsächlicher Sicherheit.

Eine von uns in Auftrag gegebene Studie zeigt, dass 77 Prozent der Unternehmen der Integrität von Drittanbietercode in ihren kritischsten Anwendungen vertrauen. Ebenso viele sind überzeugt, dass KI-gestützter Code ausreichend auf schwerwiegende Sicherheitslücken geprüft wird. Gleichzeitig fehlt vielen Unternehmen die vollständige Transparenz darüber, wie der Code erstellt wurde, auf welchen Komponenten er basiert und wie er tatsächlich geprüft wurde.

Das ist eine gefährliche Kombination. Code wird schneller generiert, als er gesichert werden kann, und Vertrauen wird schneller gewahrt, als er verifiziert werden kann.

Dies verändert auch die Bedrohungslandschaft. Jede neue Funktion, Integration oder Abhängigkeit kann Angreifern neue Angriffsflächen eröffnen. Schwachstellen treten selten isoliert auf. Sie verbinden Anwendungen, Umgebungen, Anbieter und Systeme auf schwer erkennbare Weise, wo herkömmliche Anwendungssicherheit nicht ausreicht. Viele ältere Arbeitsweisen basieren auf einem Entwicklungsmodell, bei dem Code in klar definierten Schritten geschrieben, geprüft und bereitgestellt wird. KI-basierte Entwicklung funktioniert anders – sie basiert auf kontinuierlicher Generierung, schnellen Iterationen und einem rasant wachsenden Codeumfang.

Das Ergebnis sind nicht nur mehr Sicherheitslücken, sondern auch weniger Transparenz. Sicherheitsteams werden mit mehr Erkenntnissen konfrontiert, denen sie sich stellen müssen, erhalten aber oft zu wenig Kontext, um zu verstehen, welche Schwachstellen tatsächlich am wichtigsten sind.

Das bedeutet, dass Unternehmen von der reinen Suche nach Schwachstellen zur Analyse des tatsächlichen Gefährdungspotenzials übergehen müssen. Es genügt nicht, die Existenz einer Schwachstelle zu kennen; vielmehr müssen sie verstehen, welche Systeme betroffen sind, wie sie mit anderen Schwachstellen zusammenhängt und welches konkrete Geschäftsrisiko sie birgt. Dies erfordert eine bessere Transparenz der gesamten Softwarekette. Unternehmen müssen wissen, wie Anwendungen entwickelt werden, welche externen Komponenten sie verwenden und wie diese mit anderen Umgebungen verbunden sind. Dies gilt für KI-generierten Code, Open-Source-Code, Integrationen von Drittanbietern und die zugrunde liegende Infrastruktur.

Die eigentliche Herausforderung besteht also nicht nur in der Anzahl der Schwachstellen, sondern in deren Vernetzung.

Da KI die Softwareentwicklung verändert, muss sich auch die Sicherheit anpassen. In einer KI-basierten Entwicklungsumgebung entstehen Risiken nicht mehr Zeile für Zeile, sondern durch Systeme, Komponenten und Verbindungen, die oft unsichtbar bleiben, bis ein Fehler auftritt.

Die Frage ist daher nicht, ob wir den Maschinen vertrauen können, die den Code schreiben, sondern wie wir das mit diesem Vertrauen verbundene Risiko managen. Sicherheit darf nicht länger auf der Annahme beruhen, dass der Code sicher ist. Sie muss vielmehr darauf basieren, zu verstehen, wo die Schwachstellen liegen, wie sie zusammenhängen und welche Auswirkungen sie tatsächlich haben können.

Nadir Israel, Group Vice President bei Armis aus ServiceNow