Wanneer AI de code schrijft, moet de beveiliging opnieuw worden bekeken.

Door AI gegenereerde code verandert de manier waarop software wordt ontwikkeld in een razend tempo. Nog niet zo lang geleden vereiste softwareontwikkeling diepgaande technische expertise, vele uren werk en regels handmatig geschreven code. Tegenwoordig kan een simpele opdracht veel van hetzelfde werk in seconden doen.

Wat soms 'vibe coding' wordt genoemd, waarbij ontwikkelaars AI-modellen instrueren om code te genereren in plaats van deze zelf te schrijven, verandert de manier waarop software wordt gebouwd in rap tempo. Het maakt ontwikkeling sneller, toegankelijker en efficiënter. Voor veel organisaties is het een vanzelfsprekendheid: snellere lanceringen, hogere productiviteit en een innovatietempo dat voorheen moeilijk te bereiken was.

Maar naarmate steeds meer codeontwikkeling aan machines wordt overgelaten, rijst ook een cruciale vraag: als we de code niet meer zelf schrijven, hoe weten we dan of die wel veilig is?

Code is nooit alleen maar functionaliteit. Het is ook een potentiële kwetsbaarheid.

Naarmate door AI gegenereerde code vaker voorkomt, neemt ook het risico toe dat er kwetsbaarheden in de omgevingen van organisaties worden geïntroduceerd. Wat voorheen vaak een kwestie van menselijke fouten was, kan nu systematisch en op grote schaal worden gecreëerd.

Onderzoek van Armis Labs Dit laat zien hoe ernstig het probleem werkelijk is. In een aantal kritieke ontwikkelingsscenario's slaagden alle toonaangevende generatieve AI-modellen er niet in om veilige code te produceren. Zelfs nieuwere en geavanceerdere modellen, zoals Gemini en Claude., In meer dan 30 procent van de gevallen genereerde het programma kwetsbare code. De zwakke punten zaten in gebieden zoals authenticatie, bestandsverwerking en geheugenbeheer. Het probleem zit echter niet alleen in de code zelf, maar ook in hoe snel we die gaan vertrouwen.

Naarmate door AI gegenereerde code, componenten van derden en open source-bibliotheken een steeds belangrijkere rol gaan spelen in de ontwikkelingsworkflow, vertrouwen veel organisaties op code die ze niet zelf hebben geschreven en die ze vaak niet volledig kunnen beoordelen. Dit creëert een groeiende kloof tussen de waargenomen en de daadwerkelijke beveiliging.

Uit onderzoek dat wij hebben laten uitvoeren, blijkt dat 77 procent van de organisaties vertrouwt op de integriteit van code van derden die wordt gebruikt in hun meest kritieke applicaties. Een even groot percentage gelooft dat door AI ondersteunde code goed is gecontroleerd op ernstige kwetsbaarheden. Tegelijkertijd hebben veel organisaties geen volledig inzicht in hoe de code is gemaakt, op welke componenten deze is gebouwd en hoe deze daadwerkelijk is beoordeeld.

Het is een gevaarlijke combinatie. Code wordt sneller gegenereerd dan dat deze kan worden beveiligd en sneller vertrouwd dan dat deze kan worden geverifieerd.

Dit verandert ook het dreigingslandschap. Elke nieuwe functie, integratie of afhankelijkheid kan een nieuwe toegangsweg voor aanvallers creëren. Kwetsbaarheden staan zelden op zichzelf. Ze verbinden applicaties, omgevingen, leveranciers en systemen op manieren die moeilijk te zien zijn en waar traditionele applicatiebeveiliging niet volstaat. Veel oudere werkwijzen zijn gebaseerd op een ontwikkelingsmodel waarbij code in duidelijke stappen wordt geschreven, beoordeeld en geïmplementeerd. AI-gebaseerde ontwikkeling werkt anders: het is gebaseerd op continue generatie, snelle iteratie en een snel groeiende hoeveelheid code.

Het resultaat is niet alleen meer kwetsbaarheden, maar ook minder duidelijkheid. Beveiligingsteams krijgen meer bevindingen voorgeschoteld, maar vaak te weinig context om te begrijpen welke zwakke punten nu echt het belangrijkst zijn.

Dit betekent dat organisaties niet langer alleen op zoek moeten gaan naar kwetsbaarheden, maar ook de daadwerkelijke risico's moeten begrijpen. Het is niet voldoende om te weten dat er een kwetsbaarheid bestaat; je moet begrijpen welke systemen erdoor worden beïnvloed, hoe deze samenhangt met andere zwakke punten en welk daadwerkelijk bedrijfsrisico het met zich meebrengt. Dit vereist een beter inzicht in de gehele softwareketen. Organisaties moeten weten hoe applicaties zijn opgebouwd, welke externe componenten ze gebruiken en hoe deze verbonden zijn met andere omgevingen. Dit geldt voor door AI gegenereerde code, open source code, integraties met derden en de infrastructuur waarop dit alles rust.

De echte uitdaging zit hem dus niet alleen in het aantal kwetsbaarheden, maar vooral in hoe ze met elkaar verbonden zijn.

Naarmate AI de manier waarop software wordt ontwikkeld verandert, moet ook de beveiliging veranderen. In een op AI gebaseerde ontwikkelomgeving ontstaat risico niet langer regel voor regel, maar via systemen, componenten en verbindingen die vaak onzichtbaar zijn totdat er iets misgaat.

De vraag is dus niet of we de machines die de code schrijven kunnen vertrouwen, maar hoe we het risico dat met dat vertrouwen gepaard gaat, beheersen. Beveiliging kan niet langer gebaseerd zijn op de aanname dat de code veilig is. Het moet gebaseerd zijn op inzicht in waar de kwetsbaarheden zich bevinden, hoe ze met elkaar verbonden zijn en wat de daadwerkelijke gevolgen ervan zijn.

Nadir Israël, Groepsvicepresident bij Armis van ServiceNow