Når AI skriver koden, må sikkerheten tenkes nytt

AI-generert kode endrer raskt måten programvare utvikles på. For ikke så lenge siden krevde programvareutvikling dyp teknisk ekspertise, mange timers arbeid og linjer med manuelt skrevet kode. I dag kan en enkel ledetekst gjøre mye av det samme arbeidet på sekunder.

Det som noen ganger kalles vibe-koding, der utviklere instruerer AI-modeller til å generere kode i stedet for å skrive den selv, endrer raskt måten programvare bygges på. Det gjør utvikling raskere, mer tilgjengelig og mer effektiv. For mange organisasjoner er det en selvfølge: raskere lanseringer, høyere produktivitet og et innovasjonstempo som tidligere var vanskelig å oppnå.

Men etter hvert som mer og mer kodeproduksjon overføres til maskiner, oppstår også et avgjørende spørsmål: hvis vi ikke lenger skriver koden selv, hvordan vet vi at den er sikker?

Kode er aldri bare funksjonalitet. Det er også en potensiell sårbarhet.

Etter hvert som AI-generert kode blir mer vanlig, øker også risikoen for at sårbarheter introduseres i organisasjoners miljøer. Det som tidligere ofte var et spørsmål om menneskelige feil, kan nå skapes systematisk og i stor skala.

Forskning fra Armis Labs viser hvor alvorlig problemet egentlig er. I en rekke kritiske utviklingsscenarier klarte ikke alle ledende generative AI-modeller å produsere sikker kode. Enda nyere og mer avanserte modeller, som Gemini og Claude, genererte sårbar kode i mer enn 30 prosent av tilfellene. Svakhetene var på områder som autentisering, filhåndtering og minneadministrasjon. Problemet ligger imidlertid ikke bare i selve koden, men også i hvor raskt vi begynner å stole på den.

Etter hvert som AI-generert kode, tredjepartskomponenter og åpne biblioteker blir en stadig viktigere del av utviklingsarbeidsflyten, er mange organisasjoner avhengige av kode de ikke har skrevet og ofte ikke kan gjennomgå fullt ut, noe som skaper et økende gap mellom opplevd og faktisk sikkerhet.

Forskning vi bestilte viser at 77 prosent av organisasjonene stoler på integriteten til tredjepartskode som brukes i deres mest kritiske applikasjoner. Et tilsvarende antall mener at AI-assistert kode blir skikkelig kontrollert for alvorlige sårbarheter. Samtidig mangler mange organisasjoner full innsikt i hvordan koden ble laget, hvilke komponenter den er bygget på, og hvordan den faktisk har blitt gjennomgått.

Det er en farlig kombinasjon. Kode genereres raskere enn den kan sikres, og klareres raskere enn den kan verifiseres.

Dette endrer også trussellandskapet. Hver ny funksjon, integrasjon eller avhengighet kan skape en ny rute for angripere. Sårbarheter eksisterer sjelden isolert. De kobler sammen applikasjoner, miljøer, leverandører og systemer på måter som er vanskelige å se, og der tradisjonell applikasjonssikkerhet ikke er nok. Mange eldre arbeidsmåter er basert på en utviklingsmodell der kode skrives, gjennomgås og distribueres i klare trinn. AI-basert utvikling fungerer annerledes – den er basert på kontinuerlig generering, rask iterasjon og en raskt voksende mengde kode.

Resultatet er ikke bare flere sårbarheter, men også mindre klarhet. Sikkerhetsteam presenteres for flere funn å håndtere, men ofte for lite kontekst til å forstå hvilke svakheter som faktisk betyr mest.

Dette betyr at organisasjoner må gå fra å bare lete etter feil til å forstå den faktiske eksponeringen. Det er ikke nok å vite at en sårbarhet eksisterer, man må forstå hvilke systemer den påvirker, hvordan den kobles til andre svakheter og hvilken faktisk forretningsrisiko den skaper, noe som krever bedre innsikt i hele programvarekjeden. Organisasjoner må vite hvordan applikasjoner bygges, hvilke eksterne komponenter de bruker og hvordan disse kobles til andre miljøer. Dette gjelder AI-generert kode, åpen kildekode, tredjepartsintegrasjoner og infrastrukturen som alt dette hviler på.

Så den virkelige utfordringen er ikke bare mengden sårbarheter. Det er hvordan de er sammenkoblet.

Etter hvert som AI endrer måten programvare bygges på, må også sikkerheten endres. I et AI-basert utviklingsmiljø skapes ikke lenger risiko linje for linje, men gjennom systemer, komponenter og tilkoblinger som ofte er usynlige inntil noe går galt.

Spørsmålet er derfor ikke om vi kan stole på maskinene som skriver koden, men hvordan vi håndterer risikoen som følger med denne tilliten. Sikkerhet kan ikke lenger være basert på antagelsen om at koden er sikker. Den må være basert på forståelse av hvor eksponeringen er, hvordan den er koblet sammen, og hva den faktisk kan påvirke.

Nadir Israel, visepresident i konsernet Armis fra ServiceNow