State of Product Security Report von Cycode AppSec im KI-Zeitalter wird zur Herausforderung

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Fast alle Unternehmen nutzen laut Cycode KI-Code und 97 Prozent ver­wen­den Coding Assistenten. 65 Prozent sehen mehr Risiko durch Schatten KI und neue Abhängigkeiten. Schutz und Effizienz bietet Product Security, die Sicherheit mit Engineering verbindet.

Jedes Unternehmen hat bereits KI-gener­ierten Code in seine Anwendungen imple­mentiert und 97 Prozent von ihnen nutzen KI-gestützte Coding-Assistenten oder testen deren Einsatz. Das sind die zentralen Ergeb­nisse des „State of Product Security“-Re­ports von Cycode. Die Vorteile sind den 400 Befragten zufolge klar: Künstliche Intel­ligenz verkürzt die Entwicklungszeit und senkt die Kosten.

Empfehlungen von ATHENE

So integrieren Sie die CRA-An­for­de­rung­en in Ihre SecDevOps-Prozesse

Sicherheitsbedenken durch Schatten-KI

Auf der anderen Seite wächst durch die mit KI angereicherten Code-Basen auch die An­griffs­fläche. Denn mit KI holen sich Unter­neh­men leider oft auch Schwachstellen ins Haus. 65 Prozent der von Cycode Befragten berichten von einem gestiegenen Sicher­heits­risiko seit der Implementierung von KI-gestützten Coding-Tools. Dazu kommt Schat­ten-KI, die sich mittlerweile in vielen Unter­nehmen im gesamten Software-Devel­op­ment-Lifecycle breit macht. Doch die Kon­trolle über die KI-Coding-Assitenten wieder­zuerlangen und ihre Anwendungen wieder sicher zu machen ist eine Herausforderung. Denn den Studienautoren zufolge umgehen Mitarbeiteden viel zu oft formale Kontroll­me­cha­nis­men wie Sicherheitsprüfungen, Einkaufsprozesse und Compliance-Kontrollen und nutzen auch KI-Tools, die nicht genehmigt sind. Dadurch können versteckte Abhängigkeiten und weitere An­griffsflächen entstehen, vor allem dann, wenn diese Tools vertrauliche oder sensible Daten verarbeiten, ohne auf ihre Unbedenklichkeit geprüft worden zu sein. Mehr als die Hälfte der Sicherheitsverantwortlichen sorgen sich daher nicht nur wegen KI-generierten Code, son­dern mehr noch über die ihn erzeugende Tool- und Systemlandschaft.

Schatten-KI ist eine Sicherheitsgefahr

Unkontrollierte Nutzung von KI verhindern

Product Security und AppSec nähern sich an

Die Gegenmaßnahme ist dem Hersteller einer Plattform für Application Security zufolge Pro­duct Security. Die Produktsicherheit habe lange im Abseits der Diskussionen rund um die Sicher­heit von Anwendungen gestanden, gewinne im KI-Zeitalter nun aber mehr an Be­deu­tung. Dabei müsse jedoch unterschieden werden zwischen Product Security und AppSec. Während Letzteres die Sicherheit einzelner Anwendungen im Software Development Lifecycle fokussiert und vor allem Code, Abhängigkeiten, Secrets, APIs sowie CI/CD-Pipelines absichert, betrachtet Product Security das gesamte Software-Produkt als System, inklusive Hardware, Firmware, Konfigurationen, Lieferkette, Sicherheitsfeatures, Compliance und den Betrieb über den gesamten Software Development Lifecycle hinweg.

99 Prozent der Umfrageteilnehmer decken diesen Bereich mittlerweile ab, in vier von fünf Fäl­len in Form eines dedizierten Product-Security-Teams. Trotz ihrer zentral gewordenen Be­deu­tung sei Product Security in vielen Unternehmen allerdings weiterhin fragmentiert, und die organisatorische Verankerung variiere stark. Am häufigsten berichten Product-Security-Teams dem Report zufolge mit 36 Prozent an den CISO, 24 Prozent an die Führung der Engineering-Teams, 23 Prozent an den CTO und weitere 17 Prozent an den CIO. Diese Zuordnung hat laut Cycode unmittelbare Auswirkungen auf die Prioritäten des Teams. Für jene, die dem CISO unterstellt sind, liege der Fokus ganz klar auf der Sicherheit. Ist das Team dem Engineering unterstellt, könne jedoch Produktivität oder Geschwindigkeit des Rollouts wichtiger sein.

Diese Fragmentierung sei jedoch nicht nur strukturell, denn Verantwortlichkeiten seien oft auf mehrere Teams verteilt, die mit unterschiedlichen Tools und Metriken arbeiten. In Kombination mit einer Vielzahl von Assets – von Code über Hardware bis hin zu Cloud-Umgebungen – werde damit eine einheitliche Sicht auf das gesamte Produktrisiko erschwert. Der primäre Fokus der Product-Security-Teams liege allerdings auf der Anwendungssicherheit. Dies gaben 66 Prozent an. Darin sieht Cycode ein deutliches Zeichen dafür, dass sich die Bereiche Product Security und AppSec zunehmend annähern. Product-Security-Teams avancieren somit zum Verbin­dungs­glied zwischen Sicherheit, Entwicklung und Governance für das KI-Zeitalter.

Warum Schatten-KI zu einem wachsenden Sicherheitsrisiko wird

Schatten-KI als Risiko für Sicherheit und Compliance in Unternehmen

(ID:50645041)