Sichere Einführung von KI-Tools: Einschätzungen und Realität

In unserem aktuellen Bericht hat Snyk Fachkräfte aus den Bereichen Sicherheit und Softwareentwicklung – von der Geschäftsleitung bis zu Anwendungsentwicklern – dazu befragt, wie ihre Unternehmen sich auf generative KI-Coding-Tools vorbereitet und diese eingeführt haben. Obwohl sich Unternehmen gut vorbereitet fühlten und KI-Coding-Tools sowie KI-generiertem Code vertrauten, unterließen sie einige grundlegende Schritte für eine sichere Einführung. Innerhalb der Unternehmen sind diejenigen, die direkt mit Code arbeiten, stärker an der Sicherheit von KI zweifeln als Personen in höheren Führungspositionen. An der weltweiten Umfrage nahmen 459 IT-Fachkräfte teil, darunter CTOs, CISOs, Entwickler, Engineers und AppSec-Fachkräfte. Snyk plant, im Laufe des Jahres 2024 weitere Daten zu erheben, um ein umfassenderes Bild der KI-Bereitschaft von Unternehmen sowie ihrer Einschätzungen zu KI-Risiken und -Herausforderungen zu erhalten.

Dieser Blogbeitrag gibt Ihnen eine Einführung in das Thema. Besuchen Sie unsere interaktive Webseite, um weitere Erkenntnisse, anschauliche Grafiken und den vollständigen Snyk Organizational AI Readiness Report zu entdecken.

Weniger als 20 % der Unternehmen führten POCs für KI-Tools durch

Obwohl es üblich ist, vor der Einführung neuer Technologien Proof-of-Concept-Tests (POCs) durchzuführen, befolgten weniger als 20 % der Unternehmen diesen Schritt bei KI-Coding-Tools. Die breite Verfügbarkeit und die niedrigen Einstiegshürden dieser Tools haben wahrscheinlich dazu beigetragen, dass sie ad hoc eingeführt wurden – ohne vorherige POCs, um Risiken zu erkennen und angemessene Sicherheitsvorkehrungen zu konzipieren. Viele Unternehmen führten zwar Sicherheitsmaßnahmen ein, doch mehr als ein Drittel tat dies nicht. Das deutet darauf hin, dass sie ihre bestehenden Praktiken für ausreichend hielten oder glaubten, KI-Tools brächten keine erheblichen neuen Risiken mit sich. Das überrascht angesichts des tiefgreifenden Wandels, den KI-generierter Code für den Softwareentwicklungslebenszyklus (SDLC) bedeutet.

C-Level schätzt KI-Bereitschaft positiver ein als andere

Befragte aus der C-Suite waren sehr zuversichtlich, was die Bereitschaft ihres Unternehmens für KI-Coding-Tools angeht: 40,3 % stuften ihr Unternehmen als „äußerst bereit“ ein. Bei Mitgliedern von Application-Security-Teams waren es 26 %, bei Entwicklern 22,4 %. Dieses Vertrauen spiegelt möglicherweise den Druck auf die Technologieführung wider, KI-Tools schnell einzuführen. Es könnte auch daran liegen, dass Führungskräfte nicht direkt mit KI-Coding-Tools arbeiten und KI-Code nicht regelmäßig prüfen – und deshalb die damit verbundenen Risiken aus erster Hand kaum kennen.

AppSec sorgt sich am meisten über „schlechten“ KI-Code und Sicherheitsrichtlinien

Application-Security-Teams (AppSec) stufen die Sicherheit von KI-generiertem Code doppelt so häufig als „schlecht“ ein wie Entwickler und Engineers. Befragte aus der C-Suite sind dagegen optimistischer: 29,8 % bewerten sie als „ausgezeichnet“. Diese Diskrepanz zeigt erneut, dass diejenigen, die Code absichern und Schwachstellen beheben, die von KI-Tools verursachten Sicherheitslücken und Fehler besser kennen. AppSec-Fachkräfte bezeichnen die KI-Sicherheitsrichtlinien ihres Unternehmens dreimal so häufig als „unzureichend“ wie Befragte aus der C-Suite. Das weist auf eine Kluft zwischen denjenigen hin, die Sicherheitsrichtlinien entwickeln und durchsetzen, und denjenigen, die die übergeordnete Einführung von Technologien beaufsichtigen.

Sicherheitsbedenken sind das größte Hindernis für die Einführung von KI

Fast alle Befragten waren sich einig, dass KI in der Softwareentwicklung unvermeidlich ist. Dennoch äußerte ein erheblicher Anteil anhaltende Bedenken. In allen Befragtengruppen gelten Sicherheitsbedenken als größtes Hindernis für die Einführung von KI-Coding-Tools; rund 58 % nannten diesen Punkt. Das steht weitgehend im Widerspruch zu anderen Umfrageergebnissen, denen zufolge KI-generierter Code größtenteils sicher ist. Die übereinstimmenden Sicherheitsbedenken unterstreichen, wie wichtig robuste Richtlinien und Maßnahmen sowie eine konkretere Planung und klare Kriterien für die Einführung sind.

Fazit: Bei der Einführung von KI und Sicherheitspraktiken gibt es noch Luft nach oben

Die Mehrheit der Unternehmen führt KI-Coding-Tools ein. KI-generierter Code wird zu einem akzeptierten Bestandteil des Softwareentwicklungslebenszyklus und ist fest in die Arbeitsabläufe von Entwicklern eingebunden. KI-Coding-Tools sind jedoch neu und können erhebliche Risiken mit sich bringen. Das zeigt sich an den deutlich größeren Bedenken von Entwicklern und AppSec-Fachkräften hinsichtlich KI-Code und KI-Coding-Tools, während die C-Suite dem Einsatz von KI beim Programmieren überwiegend positiv gegenübersteht. Damit die Risiken von KI-Coding angemessen verstanden und gesteuert werden, sollten CTOs, CISOs und ihre Teams Leitfäden und Kriterien für die Einführung von KI entwickeln und neue KI-gestützte Tools für die Code- und Technologiewartung systematischer einführen. Zu den empfohlenen Maßnahmen gehören:

• Führen Sie formelle POC-Prozesse für KI-Tools ein.

• Geben Sie dem Feedback von AppSec-Teams zu Codesicherheit und Tool-Risiken Vorrang.

• Stellen Sie sicher, dass alle, die mit den Tools und dem Code arbeiten, ausreichend geschult werden.

• Erfassen und analysieren Sie Beispiele für fehlerhaften KI-generierten Code, um Erkenntnisse für Sicherheits- und QA-Prozesse zu gewinnen.

• Führen Sie regelmäßig Umfragen durch, um die Einschätzungen zur KI-Bereitschaft und Sicherheit in allen Gruppen aufeinander abzustimmen.

Besuchen Sie auch unsere interaktive Webseite, um weitere Erkenntnisse und anschauliche Grafiken zu entdecken und den vollständigen Snyk Organizational AI Readiness Report herunterzuladen.