Deep-Dive: Umgang mit Schwachstellen durch KI-gestützte Programmierassistenten

Egal, wohin man blickt: Die Fixierung auf KI-Technologie ist in fast allen Branchen allgegenwärtig. Von manchen als Lösung für die schnelle Erstellung von Softwarefunktionen gepriesen, haben die Geschwindigkeitsvorteile ihren Preis: Das Risiko, dass durch mangelndes Kontextverständnis der Tools und unzureichende Sicherheitskenntnisse der Entwickler – die sich auf diese Tools verlassen, um ihre Produktivität zu steigern und Lösungen für komplexe Probleme zu generieren – schwerwiegende Sicherheitslücken in die Codebasis gelangen.

Large Language Model (LLM)-Technologie stellt einen massiven Wandel bei Assistenz-Tools dar und könnte, wenn sie sicher eingesetzt wird, tatsächlich der Pair-Programming-Partner sein, den sich so viele Softwareentwickler wünschen. Es hat sich jedoch schnell gezeigt, dass der unkontrollierte Einsatz von KI-Entwicklungstools schädliche Auswirkungen haben kann. Eine Studie aus dem Jahr 2023 der Stanford University ergab, dass die Abhängigkeit von KI-Assistenten tendenziell zu fehlerhafterem, unsichererem Code führt, während gleichzeitig das Vertrauen in die Sicherheit der Ergebnisse steigt.

Auch wenn man davon ausgehen kann, dass die Tools im Zuge des Wettlaufs um die Perfektionierung der LLM-Technologie immer besser werden, machen eine Reihe von Empfehlungen – darunter eine neue Executive Order der Biden-Administration sowie der AI Act der EU – ihren Einsatz in jedem Fall zu einem schwierigen Unterfangen. Entwickler können sich einen Vorsprung verschaffen, indem sie ihre Sicherheitskenntnisse auf Code-Ebene, ihr Bewusstsein und ihr kritisches Denken gegenüber den Ergebnissen von KI-Tools schärfen und so zu besseren Ingenieuren werden.

Wie verursachen KI-Coding-Assistenten Schwachstellen? Spielen Sie unsere NEUE öffentliche Mission und überzeugen Sie sich selbst!

‍

Beispiel: Cross-Site Scripting (XSS) in „ChatterGPT“

Unsere neue öffentliche Mission zeigt die vertraute Oberfläche eines beliebten LLM und verwendet einen echten Code-Schnipsel, der Ende November 2023 generiert wurde. Nutzer können diesen Schnipsel interpretieren und untersuchen, welche potenziellen Sicherheitsrisiken bestünden, wenn er für seinen beabsichtigten Zweck verwendet würde.

Basierend auf der Aufforderung „Kannst du eine JavaScript-Funktion schreiben, die den Inhalt eines p-HTML-Elements ändert, wobei der Inhalt über diese Funktion übergeben wird?“, erstellt der KI-Assistent pflichtbewusst einen Codeblock, doch der Schein trügt.

Haben Sie die Challenge schon gespielt? Falls nicht, probieren Sie es jetzt aus, bevor Sie weiterlesen.

… okay, jetzt, da Sie sie abgeschlossen haben, wissen Sie, dass der betreffende Code anfällig für Cross-Site Scripting (XSS) ist.

XSS wird durch die Manipulation der Kernfunktionalität von Webbrowsern ermöglicht. Es kann auftreten, wenn nicht vertrauenswürdige Eingaben als Ausgabe auf einer Seite gerendert, aber fälschlicherweise als ausführbarer und sicherer Code interpretiert werden. Ein Angreifer kann einen bösartigen Schnipsel (HTML-Tags, JavaScript usw.) in einen Eingabeparameter einfügen, der – wenn er an den Browser zurückgegeben wird – ausgeführt wird, anstatt als Daten angezeigt zu werden.

Sicherer Einsatz von KI-Coding-Assistenten in der Softwareentwicklung

Eine aktuelle Umfrage unter aktiven Entwicklungsteams ergab, dass fast alle – nämlich 96 % – begonnen haben, KI-Assistenten in ihrem Workflow einzusetzen, wobei 80 % sogar Sicherheitsrichtlinien umgehen, um sie in ihrem Toolkit zu behalten. Zudem gab mehr als die Hälfte zu, dass generative KI-Tools häufig unsicheren Code erstellen, was die Einführung jedoch keineswegs gebremst hat.

In dieser neuen Ära der Softwareentwicklung ist es wenig sinnvoll, den Einsatz dieser Tools zu verbieten oder davon abzuraten. Stattdessen müssen Unternehmen ihre Entwicklungsteams in die Lage versetzen, die Effizienz- und Produktivitätsvorteile zu nutzen, ohne die Sicherheit oder Codequalität zu opfern. Dies erfordert gezielte Schulungen zu Best Practices für sicheres Programmieren und die Möglichkeit, kritisches Denken zu fördern, um sicherzustellen, dass sie mit einer „Security-First“-Mentalität handeln, insbesondere bei der Bewertung des potenziellen Bedrohungspotenzials von KI-generiertem Code.

Weiterführende Literatur

Für allgemeine Informationen zu XSS lesen Sie unseren umfassenden Leitfaden.

Möchten Sie mehr darüber erfahren, wie Sie sicheren Code schreiben und Risiken minimieren? Probieren Sie unsere kostenlose XSS-Injection-Challenge.

Wenn Sie an weiteren kostenlosen Programmierrichtlinien interessiert sind, schauen Sie sich den Secure Code Coach an, der Ihnen hilft, bei den Best Practices für sicheres Programmieren auf dem Laufenden zu bleiben.

‍