Jeder Mitarbeiter steht jetzt an vorderster Front der KI-Cybersicherheit

Führungskräfte im Bereich Unternehmenssicherheit müssen schnell handeln, um unternehmensweit eine kollektive, sicherheitsorientierte Denkweise zu etablieren.

Die Technologielandschaft in Unternehmen verändert sich mit einer Geschwindigkeit, die nur wenige vorhergesehen haben, bis es zu spät war. Wir haben offiziell die Schwelle von menschengeschriebenem Code und einfacher Copilot-Unterstützung hin zur Ära des Agentic Development Lifecycle (ADLC) überschritten. Während autonome KI-Agenten eine beispiellose Effizienz in zahlreichen Funktionen versprechen, bringen sie auch eine völlig neue Klasse von Sicherheits- und Regulierungsrisiken mit sich.

Sie glauben, echte Cyberrisiken liegen noch in weiter Ferne? Der kürzliche Angriff von OpenAI-Agenten auf Hugging Face, die darauffolgenden Offenlegungen ähnlicher Vorfälle durch die meisten KI-Unternehmen und die Warnung des CEO von Anthropic, das Tempo zu drosseln, haben bewiesen, dass die meisten von uns erschreckend schlecht darauf vorbereitet sind, was autonom ausgeführt werden kann und unsere Software-Lieferketten beeinträchtigt. Bei internen Evaluierungen demonstrierte ein Schwarm von KI-Agenten emergente Kooperation, entwickelte automatisierte Bewertungssysteme zurück, fälschte Befehlsprotokolle und nutzte sogar Schwachstellen aus, um Administratorzugriff auf einen Forschungscluster zu erlangen. Wenn autonome Systeme kooperieren, sich selbst opfern und ihre Spuren verwischen können, müssen wir erkennen, dass traditionelle Sicherheitsgrenzen obsolet sind.

Gleichzeitig beschränkt sich diese Macht nicht nur auf die Technik. Wir erleben eine Explosion von „Citizen Developers“ – also nicht-technischen Mitarbeitern, die Low-Code-, No-Code- und KI-gestützte „Vibe-Coding“-Tools nutzen. Assistenten der Geschäftsleitung pushen Code auf GitHub (ja, das ist in meinem Unternehmen tatsächlich passiert), ohne wirklich zu verstehen, was dabei geschieht. Sales Operations fordert API-Schlüssel an, weil sie ihr eigenes „Command Center“ gebaut haben und Claude ihnen empfohlen hat, es auf einer Schatten-IT-Infrastruktur bereitzustellen. Und am Wochenende habe ich selbst Lovable benutzt, um eine Community-Website für weniger als 25 Dollar zu erstellen – einfach durch Chatten, während ich mein Auto wusch und Einkäufe erledigte. Das Ergebnis sieht aus wie etwas, für das ein professioneller Softwareentwickler Wochen gebraucht hätte. Lovable hat mich sogar auf „veraltete Pakete“ und „Injection-Angriffe“ hingewiesen... und einige davon sogar korrekt behoben. Andere wiederum nicht, und diese erforderten manuelle Eingriffe. 

‍Gartner schätzt , dass bis 2026 in großen Unternehmen auf einen professionellen Entwickler vier Citizen Developer kommen werden und 70 % der neuen Anwendungen auf Low-Code- und No-Code-Plattformen basieren werden, um eine Nachfrage zu bedienen, die fünfmal schneller wächst, als die traditionelle IT unterstützen kann.

Während diese geschäftsorientierte digitale Transformation die Agilität fördert, vergrößert sie unsere Angriffsfläche exponentiell. Nicht-technisches Personal geht regelmäßig mit sensiblen Quellcodes um, setzt proprietäre Daten unautorisierten externen KI-Modellen aus und stellt „vibe-codete“ Apps mit unsichtbaren Abhängigkeiten bereit.

Unter neuen globalen Vorschriften wie dem EU AI Actist dieses „Vibe Coding“ ohne Leitplanken ein Rezept für das Scheitern bei der Compliance. Der EU AI Act fordert strikte Rechenschaftspflicht, Transparenz und menschliche Aufsicht. Unternehmen können bei Schatten-KI, Sicherheitslücken in den verwendeten Modellen oder der Nachvollziehbarkeit darüber, wer die Tools nutzt und ob diese Personen die Sicherheitsstandards für ihre Rolle kennen, nicht länger wegsehen.

Bei Secure Code Warriorhaben wir dieses Jahr damit verbracht, das Fundament für die Steuerung dieses neuen Paradigmas zu legen. Anfang des Jahres haben wir das SCW AI Adoption Modeleingeführt, das CISOs einen praktischen Fahrplan bietet, um den Übergang vom traditionellen SDLC zum ADLC sicher zu bewältigen. Wir haben das gestartet SCW AI Trust Index, um die Frage zu beantworten: „Kann ein LLM tatsächlich 100 % sicheren Code liefern? Und wie schneiden sie im Vergleich ab?“ Wir haben 1.760 KI-generierte Codebasen von sechzehn führenden Modellen analysiert und festgestellt, dass KI-generierter Code durchschnittlich 15 bestätigte Schwachstellen pro Codebasis aufweist, von denen 4,3 als „schwerwiegend“ eingestuft werden. Wir haben Adaptive Learningeingeführt, das präzises Microlearning genau in dem Moment in die Arbeitsabläufe von Entwicklern integriert, in dem ein Risiko entsteht. Dies liefert prüfbare Nachweise für die Schulung jedes einzelnen Entwicklers und unterstützt die Einhaltung des EU AI Act, der ISO/IEC 42001 sowie des NIST AI Risk Management Framework.

Doch die Absicherung der Entwickler ist nur die halbe Miete. Wenn 57 % der Unternehmen KI in ihre Kernprozesse integriert haben, aber nur 23 % glauben, dass ihre Belegschaft darauf vorbereitet ist, klafft eine massive Lücke beim menschlichen Risiko.

Um jedem CISO und L&D-Team dabei zu helfen, das Risiko durch die Vielzahl an Mitarbeitern, die am Arbeitsplatz eigene Anwendungen erstellen, zu bewältigen, veröffentlichen wir Citizen AI von Secure Code Warrior.

Citizen AI ist ein bahnbrechendes Programm zur Vermittlung von KI-Sicherheitskompetenz, das speziell für nicht-technische Geschäftsteams entwickelt wurde. Es hilft Unternehmen, über passive Richtlinien hinauszugehen, und stattet jeden Mitarbeiter mit den praktischen Fähigkeiten und verantwortungsbewussten Gewohnheiten aus, die für einen sicheren Umgang mit KI-gestützten Arbeitsabläufen erforderlich sind, während gleichzeitig die unternehmensweite KI-Governance und die Einhaltung gesetzlicher Vorschriften unterstützt werden.

Unser Einführungskurs konzentriert sich auf vier entscheidende Bereiche:

1. Verständnis der Funktionsweise von KI: Entschlüsselung der wortbasierten Vorhersagen von LLMs und deren Unterschied zur klassischen Suche.
2. Intelligentes Prompting und Überprüfung der Ergebnisse: Lernen, wie man Halluzinationen erkennt und Provenance Prompting nutzt, um KI-Aussagen zu verifizieren.
3. Verwaltung von KI-Artefakten: Erkennen der Risiken durch Automatisierungen von Drittanbietern und unsichtbare Abhängigkeiten.
4. Erkennen von Vibe-Coding-Risiken: Wissen, wann eine per „Vibe-Coding“ erstellte Website oder App professionelle technische und sicherheitsrelevante Überprüfung erfordert.

Mit Citizen AI verwandeln wir Sicherheit von einer reaktiven technischen Kontrolle in eine proaktive, unternehmensweite Gewohnheit. Gemeinsam können wir eine KI-fähige Belegschaft aufbauen, die Innovationen sicher, regelkonform und im Tempo des wohl überwältigendsten technologischen Fortschritts unserer Zeit vorantreibt.