3 Tipps von den AI-Sicherheitsexperten von Snyk und Dynatrace

McKinsey bezeichnet 2023 als „Durchbruchsjahr der generativen AI“. In einer ihrer jüngsten Umfragen gab ein Drittel der Befragten an, dass ihre Unternehmen GenAI regelmäßig in mindestens einem Geschäftsbereich einsetzen. Doch während Fortschritte bei AI die Technologielandschaft weiter verändern, beschäftigt viele CCISOs die Frage: Wie wirkt sich AI auf Softwareentwicklungszyklen und die Sicherheit von Geschäftsanwendungen insgesamt aus? 

In einem kürzlich veranstalteten Fireside Chat gingen unsere Sprecher ausführlich auf AI und ihre Auswirkungen auf Unternehmen heute ein. Zu den Sprechern gehörten: 

• Simon Maple, Head of AI Advocacy bei Snyk

• Craig Charlton, Chief Information Security Officer und Vice President of Employee Digital Enablement bei Dynatrace, mit rund zehn Jahren Erfahrung in den Bereichen Informationstechnologie und Sicherheit 

• Don Ferguson, Vorsitzender des Privacy Office bei Dynatrace, der seit einem Jahrzehnt mit Dynatrace’ AI-Produkt Davis AI arbeitet

Im Gespräch behandelten sie verschiedene Themen, darunter die heutige AI-Landschaft, Überlegungen zum Einsatz von AI in der Softwareentwicklung und konkrete Tipps, um die Chancen und Risiken von AI auszubalancieren. Den Experten zufolge kommt es beim sicheren Einsatz von AI letztlich auf teamübergreifende Governance, gründliche Strategien zum Testen und Implementieren neuer Technologien sowie einen konsequenten Fokus auf Sicherheit während der gesamten Entwicklung an.

3 zentrale Erkenntnisse aus dem Gespräch von Snyk und Dynatrace über die Sicherheit generativer AI

Unternehmen setzen zwar schon seit mehreren Jahren auf AI – darunter Dynatrace mit dem zehn Jahre alten Davis AI und Snyk mit dem vier Jahre alten DeepCode AI –, doch das Gespräch hat sich im vergangenen Jahr grundlegend verändert. 

Maple sagte dazu: „Wenn wir vor zwei oder drei Jahren darüber gesprochen hätten, hätte es dieses grundlegende Vertrauen in die Fähigkeiten von AI und ihre Einsatzbereitschaft in Produkten nicht gegeben … Und es ist sehr interessant, dass Menschen heute hinterfragen, ob Sie zukunftsorientiert genug sind, wenn Sie nicht über AI sprechen.“

Maple, Charlton und Ferguson sprachen über das richtige Gleichgewicht zwischen AI-Innovation und Sicherheit. Zu ihren wichtigsten Erkenntnissen gehörten die folgenden Empfehlungen.

AI-Governance priorisieren

AI-Governance ist in der aktuellen Phase der Einführung generativer AI in Unternehmen unverzichtbar. Charlton sagte: „Eines der wichtigsten Dinge für uns war, nicht mit dem Aufbau einer AI-Governance-Organisation zu warten. Sie muss Sicherheit, Datenschutz, Geschäftsanwendungen, Recht, Softwareentwicklung und weitere Bereiche einbeziehen … es geht nicht nur um Governance. Es geht um Ethik, die Erfassung von Anfragen, Überprüfungen und alles Weitere – ebenso wie um eine umfassende Kommunikation.“

Die nächsten Schritte mit Geduld und Bedacht angehen

Maple, Charlton und Ferguson betonten außerdem, wie wichtig es ist, neue Technologien langsam und vorsichtig einzuführen. Ferguson sagte: „Es gibt großen Druck, Dinge schnell zu erledigen und schnell zu handeln … Es ist wirklich wichtig, sich Zeit zu nehmen und [generative AI] kennenzulernen, genau zu verstehen, wie Sie den größtmöglichen Nutzen daraus ziehen und wie Sie mit den Risiken umgehen möchten … Sie müssen sich Zeit zum Nachdenken nehmen.“

Charlton nannte zwei wichtige Prioritäten, auf die Sie achten sollten, wenn Sie vorsichtig vorgehen:

• Bewerten Sie, wie nachvollziehbar und transparent die von Ihnen ausgewählten Tools sind. Können Sie den Datenfluss abbilden und nachvollziehen, welche Systeme die Daten einsehen können, die Sie in Ihre AI-Tools eingeben? Er sagte: „Woher stammen die Daten? Wie können sie zum Trainieren verwendet werden? Wohin fließen sie … und wie werden sie dann an andere Systemtypen weitergegeben? Speisen sie später andere Systeme, die letztlich Risiken mit sich bringen könnten, die Sie nicht eingeplant hatten? … Es geht darum, den Datenfluss nachzuverfolgen: wem die Daten gehören, wie sie trainiert werden und ob eine inhärente Verzerrung vorliegt.“ 

• Implementieren Sie Code-Sicherheit beim Einsatz von AI in der Entwicklung. Er empfiehlt, folgende Fragen zu stellen: „Unterziehen wir unseren AI-generierten Code den üblichen Bedrohungsmanagement-Scans? Stellen wir sicher, dass in unserer Codebasis klar dokumentiert ist, welcher Code von Menschen und welcher letztlich von GenAI erstellt wurde?“

Chancen und Risiken von AI abwägen – besonders in der Entwicklung

AI bietet Teams aller Art sowohl Chancen als auch Risiken. Entwickler müssen jedoch bei der Verwendung von AI-Tools auf Sicherheit und Datenschutz achten. AI eröffnet Entwicklungsteams vielversprechende Möglichkeiten: von Snyks AppSec-Lösungen, die AI zur Codekorrektur nutzen, bis hin zu LLMs, die innerhalb von Millisekunden Hunderte Codezeilen schreiben. Werden AI-Tools in der Entwicklung jedoch falsch eingesetzt, kann dies zahlreiche Risiken mit sich bringen, etwa schlecht geschriebenen und unsicheren Code, eine übermäßige Offenlegung von Daten und die unbeabsichtigte Einbindung unsicherer Drittanbieter. 

Risiken lassen sich durch transparente Gespräche in beide Richtungen über AI-Tools und ihre angemessene Verwendung ausbalancieren. Charlton zufolge müssen Unternehmen „eine kontinuierliche Feedbackschleife einrichten, in der sich eine Gruppe gezielt damit beschäftigt, wie wir das in der Entwicklung richtig umsetzen und welche Produkte wir verwenden, wie wir unsere Sprachmodelle trainieren usw. Wie bei jeder kulturellen Entwicklung braucht es eine klare, kontinuierliche und regelmäßige Kommunikation, damit sich das entwickeln kann.“

Sicher entwickeln mit AI

Wie wir in diesem Fireside Chat gehört haben, müssen Teams beim Einsatz von AI viele Faktoren berücksichtigen – darunter den Datenfluss jedes Tools, ethische Auswirkungen und vieles mehr. Zum Glück gibt es zahlreiche Ressourcen, mit denen Entwicklungsteams die Vorteile von AI nutzen können, ohne Abstriche bei der Sicherheit zu machen. Ein guter Anfang ist es, sich das vollständige Gespräch mit Maple, Charlton und Ferguson anzuhören.