10 wichtige Vorhersagen: Secure Code Warrior über den Einfluss von KI und Secure-by-Design im Jahr 2025

Mit Blick auf das Jahr 2025 - nach einem aufregenden und herausfordernden Jahr - wird die Überschneidung von KI und Softwareentwicklung die Entwicklergemeinschaft weiterhin auf sinnvolle Weise prägen. 

Unternehmen stehen vor schwierigen Entscheidungen über den Einsatz von KI, um die langfristige Produktivität, Nachhaltigkeit und den Sicherheits-ROI zu unterstützen. In den letzten Jahren ist uns klar geworden, dass KI die Rolle des Entwicklers niemals vollständig ersetzen wird. Von KI + Entwicklerpartnerschaften bis hin zum zunehmenden Druck (und der Verwirrung) rund um die Secure-by-Design-Erwartungen - lassen Sie uns einen genaueren Blick darauf werfen, was wir im nächsten Jahr erwarten können:
‍

Die KI-Gleichung neu schreiben: Nicht KI statt Entwickler, sondern KI + Entwickler

"Da Unternehmen im Jahr 2025 zu drastischen Kostensenkungsmaßnahmen gezwungen sind, würde es niemanden überraschen, wenn Entwickler durch KI-Tools ersetzt würden. Aber wie schon bei der Einführung der generativen KI und auch jetzt, nach Jahren von Updates und weiteren, ist sie immer noch kein sicherer, autonomer Produktivitätsfaktor, insbesondere bei der Erstellung von Code. KI ist eine hochgradig disruptive Technologie mit vielen erstaunlichen Anwendungen und Anwendungsfällen, aber sie ist kein ausreichender Ersatz für qualifizierte menschliche Entwickler. Ich stimme der Vorhersage von Forrester zu, dass diese Verschiebung in Richtung KI/Mensch-Ersatz im Jahr 2025 wahrscheinlich scheitern wird, insbesondere auf lange Sicht. Ich denke, dass die Kombination aus KI und Entwicklern dies eher erreichen wird als KI allein."

‍

KI bietet eine bunte Mischung aus Risiken und Chancen

"Im Jahr 2025 werden wir sehen, wie neue Risikofälle durch KI-generierten Code entstehen, einschließlich der negativen Auswirkungen bekannter Probleme wie Halluzinationen, vergiftete Bibliotheken und Exploits, die die Software-Lieferkette betreffen. Darüber hinaus wird KI immer häufiger dazu verwendet werden, Schwachstellen im Code zu finden und Exploits dafür zu schreiben, wie das Project Zero von Google gerade gezeigt hat. Im Gegensatz dazu denke ich, dass wir zusätzlich einen ersten Reifegrad erreichen werden, bei dem Unternehmensentwickler in der Lage sind, diese Tools bei ihrer Arbeit zu nutzen, ohne ein zu großes zusätzliches Risiko einzugehen. Dies wäre jedoch die Ausnahme, nicht die Regel, und würde davon abhängen, dass das Unternehmen das Entwicklerrisiko aktiv misst und sein Sicherheitsprogramm entsprechend anpasst. In dem sich rasch entwickelnden Bedrohungsumfeld, das das Jahr 2025 mit Sicherheit mit sich bringen wird, werden es die qualifizierten, sicherheitsbewussten Entwickler mit bewährten KI-Codierungstools sein, die in der Lage sein werden, Code schneller zu produzieren, während Entwickler mit geringem Sicherheitsbewusstsein und allgemeinen Fähigkeiten nur mehr Probleme einbringen werden, und das mit größerer Geschwindigkeit." 

‍

Aus dem [AI]-Schatten heraustreten

"Die Gesetzgebung im Bereich der KI ändert sich schnell, um mit den häufigen Fortschritten der Technologie und ihrer Verbreitung Schritt zu halten. Im Jahr 2025 müssen Sicherheitsverantwortliche sicherstellen, dass sie auf die Einhaltung potenzieller Richtlinien vorbereitet sind. Eine Kombination der folgenden Punkte - das Verständnis der Natur der "Schatten-KI" und die Sicherstellung, dass sie im Unternehmen nicht verwendet wird, gefolgt von der strikten Verwendung von nur genehmigten, überprüften Tools, die auf Unternehmenssystemen installiert werden - wird sich für Unternehmen im kommenden Jahr als äußerst wichtig erweisen. Dies wird zu einer größeren assessment der Entwicklungskohorte führen, um zu verstehen, wie sie am besten unterstützt werden müssen, um ihre Sicherheitsfähigkeiten kontinuierlich auszubauen und auf alle Aspekte ihrer Arbeit anzuwenden."

‍

Die Sicherheit von KI-Tools wird ein wichtiger Maßstab für Entwickler sein

"Im Moment herrscht auf dem Markt für LLM-gestützte Coding-Tools ein freier Wettbewerb. Ständig kommen neue hinzu, die sich mit besserer Leistung, Sicherheit und Produktivität rühmen. Auf dem Weg ins Jahr 2025 brauchen wir einen Standard, mit dem jedes KI-Tool verglichen und hinsichtlich seiner Sicherheit bewertet werden kann. Dazu gehören auch die Codierungsfähigkeiten, d. h. die Fähigkeit, Code mit guten, sicheren Codierungsmustern zu erzeugen, die von Bedrohungsakteuren nicht ausgenutzt werden können." 

‍

KI wird den Einstieg für Nachwuchsentwickler erschweren

"Für Entwickler gibt es mehr Einstiegshürden als je zuvor. Mit hybriden und verteilten Belegschaften und dem erforderlichen Qualifikationsniveau für Einstiegspositionen wird die Messlatte für Nachwuchsentwickler jedes Jahr höher gelegt. Im Jahr 2025 werden Arbeitgeber von Nachwuchsentwicklern erwarten, dass sie bereits zu Beginn ihrer Tätigkeit über die Fähigkeiten und das Wissen verfügen, um KI-Tools sicher in ihre Arbeitsabläufe zu integrieren und zu optimieren - anstatt Zeit für eine Schulung am Arbeitsplatz aufzuwenden. Innerhalb des nächsten Jahres werden Entwickler, die nicht lernen, wie sie KI-Tools in ihrem Entwicklungs-Workflow nutzen können, mit erheblichen Konsequenzen für ihre eigene Karriereentwicklung konfrontiert sein - und sie werden Schwierigkeiten haben, sich einen Arbeitsplatz zu sichern. Sie riskieren, dass ihre 'Lizenz zum Coden' beeinträchtigt wird, was ihre Teilnahme an komplexeren Projekten verhindert, da sichere KI-Kenntnisse letztendlich der Schlüssel sein werden."

‍

Die Zeit wird Organisationen daran hindern, Secure by Design zu erreichen

"Entwickler brauchen ausreichend Zeit und Ressourcen, um sich mit den richtigen Tools und Praktiken vertraut zu machen, um "Secure by Design" zu erreichen. Wenn Unternehmen nicht die Zustimmung der Sicherheits- und Technikverantwortlichen erhalten, werden ihre Fortschritte behindert - oder ganz zum Stillstand gebracht. Wenn Unternehmen versuchen, Kosten zu senken oder Ressourcen einzuschränken, geben sie oft sofortigen Abhilfemaßnahmen den Vorrang vor langfristigen Lösungen und konzentrieren sich auf vielseitige Abhilfetools, die einige Dinge nur "okay" und alles andere "mittelmäßig" machen. Im Jahr 2025 wird dieses Ungleichgewicht zu einer größeren Diskrepanz zwischen Unternehmen führen, die der sicheren Softwareentwicklung Priorität einräumen, und solchen, die nur eine schnelle Lösung wollen, um mit der sich verändernden Landschaft Schritt zu halten."

‍

Audits zur Sicherheit der Lieferkette spielen eine entscheidende Rolle bei der Minderung globaler Risiken

"Alle Outsourcing-/Drittanbieter werden zunehmend unter die Lupe genommen. Man kann intern das beste Sicherheitsprogramm haben, aber für Unternehmen, an die man auslagert, kann der gesamte Sicherheitsrahmen kompromittiert werden, wenn sie nicht Secure by Design praktizieren. Infolgedessen werden Unternehmen ihre Outsourcing-Bemühungen einer eingehenden Prüfung unterziehen und Druck auf die Unternehmensleiter ausüben, damit diese strenge Sicherheits- und Branchenrichtlinien einhalten. Letztendlich hängt der Erfolg von Sicherheitsteams von einer ganzheitlichen, 360°-Perspektive ab - einschließlich eines einheitlichen Ansatzes für das gesamte Unternehmen und alle externen Partner."

‍

KI wird bei der "Durchdringung des Lärms" eine wichtige Rolle spielen  

"Entwicklungsteams kämpfen mit False-Positive-Raten bei Code-Schwachstellen-Scannern. Wie können sie sicher sein, dass die ihnen zugewiesenen Schwachstellen tatsächlich ein Sicherheitsrisiko darstellen? Im Jahr 2025 wird KI ein entscheidendes Werkzeug sein, um Entwicklern bei der Codebereinigung zu helfen, indem sie ein tieferes Verständnis des Codes selbst ermöglicht. Durch den Einsatz von maschinellem Lernen kann KI reale Bedrohungen auf der Grundlage des Kontexts besser priorisieren und den Zeitaufwand für die Verbesserung der Genauigkeit von Sicherheitswarnungen verringern. So können sich die Teams auf die Schwachstellen konzentrieren, die wirklich ein Risiko darstellen, was die Gesamteffizienz steigert und schnellere, sicherere Entwicklungszyklen ermöglicht."

‍

Benchmarking wird die Lösung für Unternehmen sein, um die Secure-by-Design-Ziele zu erreichen

"Das Fehlen eines Sicherheits-Benchmarks wird sich für Unternehmen im Jahr 2025 als nachteilig erweisen, da sie keine klare Grundlage für die Messung ihrer Fortschritte bei der Einhaltung der Secure by Design-Standards haben werden. Ohne ein Benchmarking-System, mit dem bewertet werden kann, wie Teams sichere Kodierungspraktiken einhalten, laufen diese Organisationen Gefahr, unbeabsichtigt Schwachstellen einzuführen, die zu einem größeren Sicherheitsverstoß führen könnten. Und wenn es doch zu einem Sicherheitsverstoß kommt, haben sie wahrscheinlich keine Zeit, ein Benchmarking-System zu implementieren, sondern sind gezwungen, ihre SBD-Initiativen zu beschleunigen, ohne zuvor die Sicherheitsreife ihrer Entwicklerteams zu bewerten, was ihre Organisation letztlich noch größeren Risiken aussetzt."

‍

Technische Verschuldung auf Kosten von KI-generiertem Code

"Es ist kein Geheimnis, dass die Branche bereits ein massives Problem mit technischen Schulden hat - und zwar mit Code, der bereits geschrieben worden ist. Mit dem zunehmenden blinden Vertrauen der Entwickler in inhärent unsicheren, KI-generierten Code und der eingeschränkten Kontrolle durch die Geschäftsleitung wird es nur noch schlimmer werden. Es ist gut möglich, dass diese Dynamik dazu führt, dass die Zahl der gemeldeten CVEs im kommenden Jahr um das 10-fache ansteigt."

‍

Für ein erfolgreiches Jahr 2025 müssen Unternehmen bereit sein, KI verantwortungsbewusst und sicher einzuführen und ihre Entwicklungsteams entsprechend zu schulen und in die Risikominderung zu investieren. Nächstes Jahr jährt sich das Secure-by-Design-Versprechen der CISA zum ersten Mal. Die Marken, die ihren Wettbewerbsvorteil behalten werden, sind diejenigen, die ihrem sicheren Entwicklungsansatz Priorität einräumen, um Risiken im Zusammenhang mit KI, Sicherheitsbedenken Dritter und weiteren aufkommenden Bedrohungen bestmöglich zu beseitigen.