Thought Leadership
Checkmarx hat den neuen Report Sieben Schritte zur sicheren Nutzung generativer KI in der Application Security veröffentlicht. Der Bericht analysiert die wichtigsten Bedenken, die Verwendungsarten und das Einkaufsverhalten rund um die KI-gestützte Software-Entwicklung in Unternehmen.
Im Fokus der weltweiten Studie steht das Spannungsverhältnis, in dem CISOs heute agieren: Einerseits stehen sie unter hohem Druck, den Entwickler- und den AppSec-Teams die Produktivitätssteigerungen durch KI-Tools zu erschließen, andererseits sollen sie aber mithilfe klarer Governance-Vorgaben die Sicherheitsrisiken beim Einsatz der neuen Technologie minimieren.
„Die CISOs der Unternehmen stehen vor der Herausforderung, die Gefahren beim Einsatz generativer KI zu bewerten und zu minimieren, ohne Innovationen zu behindern und den Fortschritt in ihrem Unternehmen zu bremsen“, erklärt Sandeep Johri, CEO von Checkmarx. „Generative KI kann überlasteten Entwickler-Teams helfen, erfolgreich zu skalieren und schneller mehr Code zu generieren. Aber neue Probleme wie halluzinierende KIs bereiten auch den Weg für neue Risiken, die sich derzeit nur schwer quantifizieren lassen.
Zu den Highlights der weltweiten KI-Studie gehören folgende Erkenntnisse, die ausnahmslos belegen, wie schwer es ist, konsistente Governance-Richtlinien zu etablieren und durchzusetzen:
- Nur 29 % aller Unternehmen haben eine Form von Governance implementiert
- 15 % der Befragten untersagen ausdrücklich die Verwendung von KI-Tools zur Code-Generierung in ihren Unternehmen
- 99 % berichten, dass – unabhängig von eventuellen Verboten – KI-Tools zur Code-Generierung verwendet werden
- 70 % geben an, es gäbe keine zentralisierte Strategie für den Umgang mit generativer KI, und entsprechende Einkaufsentscheidungen würden ad-hoc von Fachabteilungen getroffen
- 60 % befürchten GenAI-Angriffe, etwa KI-Halluzinationen
- 80 % sorgen sich mit Blick auf Sicherheitsbedrohungen, die aus der Verwendung von KI-Tools auf Seiten der Entwickler entstehen
Erklärtes Ziel vieler CISOs ist es, angemessene Governance-Vorgaben zu definieren, um den Entwickler-Teams die Verwendung KI-gestützter Coding-Tools gestatten zu können. Die Security-Verantwortlichen kennen das Potenzial dieser Technologie und wissen, wie einfach, flexibel und nützlich sie ist, wenn es gilt, die Anwendungsentwicklung in einer unter enormem Zeitdruck agierenden Business-Umgebung zu beschleunigen und zu skalieren.
Allerdings ist generative KI aktuell nicht in der Lage, die etablierten Secure Coding Practices zu befolgen und wirklich sicheren Code zu produzieren. Einige Security-Teams haben dies zum Anlass genommen, KI-gestützte Security-Tools zu integrieren, um damit den Wildwuchs an KI-generiertem Code besser managen zu können. Die Checkmarx-Studie stellt fest, dass:
- 47 % der Befragten darüber nachdenken, KI-Lösungen zu implementieren, die eigenmächtig Veränderungen an Code vornehmen können
- 6 % geben an, dass sie einer KI, die Security-Abläufe in bestehenden Herstellerlösungen beeinflusst, kein Vertrauen entgegenbringen würden
„Die Antworten der weltweiten CISO-Community belegen, dass die meisten Entwickler heute KI-Tools für die Anwendungsentwicklung nutzen, obwohl diese nicht zuverlässig sicheren Code erzeugen können. Im Umkehrschluss bedeutet das, dass die Security-Teams eine Flut von neuem, unsicherem Code bewältigen müssen“, so Kobi Tzruya, Chief Product Officer bei Checkmarx. „Die Security Teams sind daher mehr denn je auf eigene produktivitätssteigernde Tools angewiesen, mit denen sie Schwachstellen managen, korrelieren und priorisieren können, wie es zum Beispiel unsere Platform Checkmarx One ermöglicht.”
Methodologie
Anfang 2024 beauftragte Checkmarx ein weltweit tätiges Forschungsunternehmen mit der Befragung von 900 CISOs und Application-Security-Experten in Unternehmen in Nordamerika, Europa und im asiatisch-pazifischen Raum mit einem jährlichen Umsatz von 750 Millionen US-Dollar oder mehr.
(pd/Checkmarx)
