4 Tipps zur Absicherung der GenAI-gestützten Entwicklung

Gartner prognostiziert, dass generative KI (GenAI) bereits im nächsten Jahr für 90 % der Unternehmen zu einem wichtigen Partner der Belegschaft wird. Insbesondere bei der Anwendungsentwicklung sehen wir, wie Entwickler:innen auf Code-Assistenten wie Github Copilot und Google Gemini Code Assist zurückgreifen, um Software in beispielloser Geschwindigkeit zu entwickeln. 

GenAI ermöglicht zwar neue Produktivitäts- und Geschwindigkeitsniveaus, bringt aber auch neue Bedrohungen und Herausforderungen für Application-Security-Teams mit sich. Die Trainingsdaten großer Sprachmodelle (LLMs) bestehen aus einer Mischung von Code unterschiedlicher Qualität. Daher können sie ebenso wahrscheinlich Sicherheitslücken und Fehler einführen wie Nachwuchsentwickler:innen. Im Gegensatz zu diesen Technologien generieren sie Code jedoch innerhalb von Sekunden.

GenAI berücksichtigt außerdem weder Unternehmensrichtlinien noch Best Practices. Daher kann sie Compliance-Vorschriften oder unternehmensspezifische Sicherheitsrichtlinien nicht einhalten. Zudem können Teammitglieder versehentlich vertrauliche Daten offenlegen, indem sie diese in LLMs eingeben. 

Wie wir sehen, bringen diese neuen Technologien zahlreiche Sicherheitsherausforderungen mit sich, die Teams berücksichtigen müssen. AppSec-Teams müssen heute Strategien entwickeln, um mit der Geschwindigkeit und dem Umfang von GenAI Schritt zu halten und die Entwicklungsteams zu unterstützen, ohne sie auszubremsen. 

Sicherheit im Tempo von GenAI

Wie können Sie Ihr AppSec-Programm am besten skalieren und auf die Besonderheiten GenAI-gesteuerter Entwicklungszyklen abstimmen?

Snyk hat gemeinsam mit dem AppSec-Expertenteam von Deloitte einen neuen Leitfaden erstellt, der Unternehmen hilft, die Auswirkungen der zunehmenden GenAI-Nutzung zu verstehen. Im Mittelpunkt stehen die Skalierung der Anwendungssicherheit und zugleich das kontinuierliche Wachstum sowie die sichere Nutzung von GenAI. Hier sind die wichtigsten Erkenntnisse von Deloitte und Snyk: 

Hürden mit entwicklerorientierter Technologie beseitigen 

GenAI-gestützte Coding-Tools sind bei Entwickler:innen beliebt, weil sie einfach zu bedienen sind. Entwickler:innen geben einen Prompt ein, erhalten fast sofort eine Antwort und fügen den neu generierten Code anschließend dem Repository hinzu. Wenn Sicherheit diesen Prozess behindert, umgehen Entwickler:innen die entsprechenden Kontrollen eher vollständig. Zu den typischen technologiebedingten Hürden zählen Sicherheitstools, die Entwickler:innen zu Nacharbeiten zwingen, weil Schwachstellen erst spät in der Pipeline erkannt wurden, sowie sicherheitszentrierte Benutzeroberflächen, die Entwicklungsteams dazu zwingen, zwischen verschiedenen Plattformen zu wechseln, um Probleme zu beheben. Im Gegensatz dazu fördern entwicklerorientierte Sicherheitstools, die sich nahtlos in Entwickler-Workflows einfügen und mit KI-Coding-Tools zusammenarbeiten, eine sicherere GenAI-gestützte Softwareentwicklung.

Mit Schulungen erklären, warum Leitplanken wichtig sind

Berichten zufolge umgehen 80 % der Entwickler:innen Sicherheitsmaßnahmen für KI-generierten Code, da sie GenAI tendenziell mehr vertrauen als menschlichen Programmierer:innen. Daher müssen diese Entwickler:innen unbedingt darin geschult werden, warum sie neben ihren KI-Coding-Assistenten Echtzeit-Sicherheitstools verwenden sollten. Sicherheitsteams sollten außerdem vermitteln, wie LLMs genutzt werden dürfen – und wie nicht –, zum Beispiel welche Daten Entwickler:innen in einen Prompt kopieren und einfügen dürfen. 

Prozesse schaffen, die GenAI ergänzen

Ihr Team hat wahrscheinlich bereits erlebt, wie GenAI die schiere Menge an Code erhöht, der in Repositories eingeht. Deshalb ist es wichtiger denn je, unkomplizierte Prozesse zu etablieren, um Sicherheitsprobleme in einem Tempo zu erkennen und zu beheben, das diesem höheren Codevolumen gerecht wird. Optimieren und stärken Sie Ihre Prozesse für die Kommunikation zwischen Entwicklungs- und Sicherheitsteams, Code-Scan-Prüfungen und die Priorisierung von Schwachstellen. 

Richtlinien an GenAI-Tools anpassen

Ebenso wichtig ist es, klare Richtlinien für GenAI festzulegen. Die richtigen Richtlinien setzen Maßstäbe für den Einsatz von KI in den täglichen Arbeitsabläufen der Teams und schreiben strenge Sicherheitsprüfungen vor. Beispiele für KI-Richtlinien sind Vorgaben zu zulässigen Anwendungsfällen, Auswahl und Verwendung von Daten, Datenschutz und Datensicherheit sowie zur Einhaltung regulatorischer Anforderungen. Außerdem empfiehlt es sich, diese Richtlinien regelmäßig zu aktualisieren, wenn neue Tools im Unternehmen eingeführt werden und sich die Entwicklungspraktiken weiterentwickeln. 

Ihr AppSec-Programm für die Herausforderungen der KI skalieren

Wenn Ihr Team eine solide Grundlage aus KI-Richtlinien und Leitplanken schafft, bereiten Sie Ihr Unternehmen auf den Erfolg mit künftigen Weiterentwicklungen dieser Technologien vor. Durch die Kombination der Secure-by-Design-Automatisierungs- und Orchestrierungsservices von Deloitte mit einer Anwendungssicherheitsplattform, die Schwachstellen wie kritische Sicherheitslücken und Zero-Days früh im Entwicklungslebenszyklus erkennt und automatisch behebt, können Unternehmen: 

• die Anwendungssicherheit über den gesamten Softwareentwicklungslebenszyklus hinweg sicher ausbauen und Workflows über eine einzige Plattform automatisieren 

• Tools und automatisierte Prozesse integrieren, um die Akzeptanz bei Entwickler:innen zu verbessern 

• KI-gestützte Sicherheitstools und Automatisierung nutzen, damit Entwickler:innen und Sicherheitsteams Probleme von Anfang an – sobald sie auftreten – mit geringem Aufwand und in einem Bruchteil der üblichen Zeit gemeinsam beheben und Risiken reduzieren können

• Unterstützung bei der Behebung von Schwachstellen erhalten, um Rückstände abzubauen

• Onboarding und Einführung beschleunigen – durch schnelle, einheitliche Unterstützung bei der Einführung einer Anwendungssicherheitsplattform, die Ihren eigenen Code, einschließlich des von KI-Coding-Assistenten erstellten Codes, Ihre Open-Source-Abhängigkeiten sowie Ihre Container und Infrastructure as Code absichert.

Erfahren Sie, wie Sie Ihr Anwendungssicherheitsprogramm für die neuen Herausforderungen der GenAI-gesteuerten Entwicklung skalieren können. Laden Sie unser Whitepaper Anwendungssicherheit im großen Maßstab für GenAI herunter.