Kun tekoäly kirjoittaa koodia, turvallisuus on ajateltava uudelleen

AI-genererad kod förändrar snabbt hur mjukvara utvecklas. För inte så länge sedan krävde mjukvaruutveckling djup teknisk kompetens, många timmars arbete och rader av manuellt skriven kod. I dag kan en enkel prompt göra stora delar av samma arbete på några sekunder.

Det som ibland kallas vibe coding, där utvecklare instruerar AI-modeller att generera kod i stället för att skriva den själva, håller snabbt på att förändra hur mjukvara byggs. Det gör utvecklingen snabbare, mer tillgänglig och mer effektiv. För många organisationer är det en självklar möjlighet: snabbare lanseringar, högre produktivitet och en innovationshastighet som tidigare var svår att nå.

Men när allt mer av kodskapandet överlåts till maskiner uppstår också en avgörande fråga: om vi inte längre skriver koden själva, hur vet vi då att den är säker?

Kod är aldrig bara funktionalitet. Den är också en möjlig sårbarhet.

När AI-genererad kod blir vanligare ökar också risken för att sårbarheter förs in i organisationers miljöer. Det som tidigare ofta handlade om mänskliga misstag kan nu skapas systematiskt och i stor skala.

Forskning från Armis Labs visar hur allvarligt problemet verkligen är. I ett antal kritiska utvecklingsscenarier misslyckades samtliga ledande generativa AI-modeller med att producera säker kod. Även nyare och mer avancerade modeller, som Gemini och Claude, genererade sårbar kod i mer än 30 procent av fallen. Svagheterna fanns bland annat inom autentisering, filhantering och minneshantering. Problemet ligger dock inte bara i själva koden, det ligger också i hur snabbt vi börjar lita på den.

I takt med att AI-genererad kod, tredjepartskomponenter och öppna bibliotek blir en allt större del av utvecklingsflödet förlitar sig många organisationer på kod som de inte själva har skrivit och ofta inte fullt ut kan granska. Det skapar ett växande glapp mellan upplevd och faktisk säkerhet.

Forskning vi låtit genomföra visar att 77 procent av organisationer litar på integriteten i tredjepartskod som används i deras mest kritiska applikationer. Lika många anser att AI-assisterad kod kontrolleras ordentligt för allvarliga sårbarheter. Samtidigt saknar många organisationer full insyn i hur koden har skapats, vilka komponenter den bygger på och hur den faktiskt har granskats.

Det är en farlig kombination. Kod genereras snabbare än den kan säkras och betros snabbare än den kan verifieras.

Detta förändrar också hotbilden. Varje ny funktion, integration eller beroende kan skapa en ny väg in för angripare. Sårbarheter finns sällan isolerade. De kopplar samman applikationer, miljöer, leverantörer och system på sätt som är svåra att överblicka och där traditionell applikationssäkerhet inte räcker till. Många äldre arbetssätt bygger på en utvecklingsmodell där kod skrivs, granskas och driftsätts i tydliga steg. AI-baserad utveckling fungerar annorlunda – den bygger på kontinuerlig generering, snabb iteration och en snabbt växande mängd kod.

Resultatet blir inte bara fler sårbarheter, utan mindre tydlighet. Säkerhetsteamen får fler fynd att hantera, men ofta för lite kontext för att förstå vilka svagheter som faktiskt spelar störst roll.

Detta gör att organisationer behöver gå från att endast leta efter brister till att förstå verklig exponering. Det räcker inte att veta att en sårbarhet finns, man måste förstå vilka system den påverkar, hur den hänger ihop med andra svagheter och vilken faktisk affärsrisk den skapar, något som kräver bättre insyn i hela mjukvarukedjan. Organisationer måste veta hur applikationer byggs, vilka externa komponenter de använder och hur dessa kopplas till övriga miljöer. Det gäller AI-genererad kod, öppen källkod, tredjepartsintegrationer och den infrastruktur som allt detta vilar på.

Den verkliga utmaningen är alltså inte bara mängden sårbarheter. Det är hur de hänger samman.

När AI förändrar hur mjukvara byggs måste även säkerheten förändras. I en AI-baserad utvecklingsmiljö skapas risk inte längre rad för rad, utan genom system, komponenter och kopplingar som ofta är osynliga tills något går fel.

Frågan är därför inte om vi kan lita på maskinerna som skriver koden utan hur vi hanterar risken som följer med den tilliten. Säkerhet kan inte längre bygga på antagandet att koden är säker. Den måste bygga på förståelse för var exponeringen finns, hur den hänger ihop och vad den faktiskt kan påverka.

Nadir Israel, CTO och medgrundare, Armis