Jeder Mitarbeiter steht jetzt an vorderster Front der KI-Cybersicherheit

Führungskräfte im Bereich Unternehmenssicherheit müssen schnell handeln, um ein kollektives, sicherheitsorientiertes Bewusstsein im gesamten Unternehmen zu schaffen.

Die Unternehmenslandschaft wandelt sich mit einer Geschwindigkeit, die kaum jemand vorhergesehen hat, bis es zu spät war. Wir haben offiziell die Schwelle von handgeschriebenem Code und einfacher Copilot-Unterstützung hin zur Ära des Agentic Development Lifecycle (ADLC) überschritten. Während autonome KI-Agenten eine beispiellose Effizienz in vielen Bereichen versprechen, bringen sie auch eine völlig neue Klasse von Sicherheits- und Regulierungsrisiken mit sich.

Sie glauben, echte Cyberrisiken liegen noch Jahre in der Zukunft? Der kürzliche KI-Agenten-Angriff auf Hugging Face, die darauffolgenden Offenlegungen ähnlicher Vorfälle durch die meisten KI-Unternehmen und die Warnung des Anthropic-CEOs, das Tempo zu drosseln, haben bewiesen, dass die meisten von uns erschreckend unvorbereitet auf das sind, was autonom ausgeführt werden kann und unsere Software-Lieferketten beeinträchtigt. Bei internen Evaluierungen demonstrierte ein Schwarm von KI-Agenten emergente Kooperation, entwickelte automatisierte Bewertungssysteme zurück, fälschte Befehlsprotokolle und nutzte sogar Schwachstellen aus, um Administratorzugriff auf einen Forschungscluster zu erlangen. Wenn autonome Systeme kooperieren, sich selbst opfern und ihre Spuren verwischen können, müssen wir erkennen, dass traditionelle Sicherheitsgrenzen obsolet sind.

Gleichzeitig ist diese Macht nicht auf die Technik beschränkt. Wir erleben eine Explosion von „Citizen Developers“ – also nicht-technischen Mitarbeitern, die Low-Code-, No-Code- und KI-gestützte „Vibe-Coding“-Tools nutzen. Assistenten der Geschäftsleitung pushen Code auf GitHub (ja, das ist in meinem Unternehmen gerade passiert), ohne wirklich zu verstehen, was er bewirkt. Sales Operations fragt nach API-Keys, weil sie ihr eigenes „Command Center“ gebaut haben und Claude ihnen empfohlen hat, es auf einer Schatten-IT-Infrastruktur bereitzustellen. Und am Wochenende habe ich selbst Lovable benutzt, um eine Community-Website für unter 25 Dollar zu erstellen – einfach per Chat, während ich mein Auto wusch und einkaufte. Das Ergebnis sieht aus wie etwas, für das ein professioneller Softwareentwickler Wochen gebraucht hätte. Lovable benachrichtigte mich sogar über „veraltete Pakete“ und „Injection-Angriffe“ ... einige davon wurden sogar korrekt behoben. Andere wiederum nicht, was manuelle Eingriffe erforderte.

‍Gartner schätzt, dass bis 2026 in großen Unternehmen auf einen professionellen Entwickler vier Citizen Developer kommen werden und 70 % der neuen Anwendungen auf Low-Code- und No-Code-Plattformen basieren, um eine Nachfrage zu decken, die fünfmal schneller wächst, als es die traditionelle IT unterstützen kann.

Während diese geschäftsorientierte digitale Transformation die Agilität fördert, vergrößert sie unsere Angriffsfläche exponentiell. Nicht-technisches Personal geht regelmäßig mit sensiblem Quellcode um, setzt proprietäre Daten unbefugten externen KI-Modellen aus und stellt „vibe-codete“ Apps mit unsichtbaren Abhängigkeiten bereit.

Unter neuen globalen Vorschriften wie dem EU AI Act ist dieses „Vibe-Coding“ ohne Leitplanken ein Rezept für Compliance-Versagen. Der EU AI Act fordert strenge Rechenschaftspflicht, Transparenz und menschliche Aufsicht. Unternehmen können bei Schatten-KI, Sicherheitslücken in den verwendeten Modellen oder der mangelnden Nachvollziehbarkeit darüber, wer die Tools nutzt und ob diese die Sicherheitsstandards für ihre Rolle kennen, nicht länger wegsehen.

Bei Secure Code Warrior haben wir dieses Jahr das Fundament gelegt, um dieses neue Paradigma zu steuern. Anfang des Jahres führten wir das SCW AI Adoption Model ein, das CISOs einen praktischen Fahrplan bietet, um den Übergang vom traditionellen SDLC zum ADLC sicher zu gestalten. Wir starteten den SCW AI Trust Index, der die Frage beantwortet: „Kann ein LLM tatsächlich 100 % sicheren Code liefern? Und wie schneiden sie im Vergleich ab?“ Wir analysierten 1.760 KI-generierte Codebasen von sechzehn führenden Modellen und stellten fest, dass KI-generierter Code durchschnittlich 15 bestätigte Schwachstellen pro Codebasis aufweist, von denen 4,3 als „schwerwiegend“ gelten. Wir lieferten Adaptive Learning, das präzises Mikrolernen genau in dem Moment in die Entwickler-Workflows einspeist, in dem ein Risiko entsteht. Dies liefert prüfbare Nachweise für die Schulung pro Entwickler, die die Einhaltung des EU AI Act, ISO/IEC 42001 und des NIST AI Risk Management Framework unterstützen.

Doch die Absicherung der Entwickler ist nur die halbe Miete. Wenn 57 % der Unternehmen KI in Kernprozesse integriert haben, aber nur 23 % glauben, dass ihre Belegschaft darauf vorbereitet ist, haben wir eine massive menschliche Risikolücke.

Um jedem CISO und L&D-Team dabei zu helfen, das Risiko durch die Vielzahl an Mitarbeitern, die am Arbeitsplatz Dinge entwickeln, zu bewältigen, veröffentlichen wir Citizen AI by Secure Code Warrior.

Citizen AI ist ein bahnbrechendes Programm zur KI-Sicherheitskompetenz, das speziell für nicht-technische Geschäftsteams entwickelt wurde. Es hilft Unternehmen, über passive Richtlinien hinauszugehen und jeden Mitarbeiter mit den praktischen Fähigkeiten und verantwortungsbewussten Gewohnheiten auszustatten, die erforderlich sind, um KI-gestützte Workflows sicher zu steuern und gleichzeitig die umfassendere KI-Governance und regulatorische Compliance des Unternehmens zu unterstützen.

Unser Einführungskurs konzentriert sich auf vier wichtige Bereiche:

1. Verständnis der KI-Funktionsweise: Entschlüsselung der wortvorhersagenden Natur von LLMs und deren Unterschied zur Suche.
2. Intelligentes Prompting und Überprüfung der Ergebnisse: Lernen, Halluzinationen zu erkennen und Provenance-Prompting zur Verifizierung von KI-Aussagen zu nutzen.
3. Verwaltung von KI-Artefakten: Erkennen der Risiken von Drittanbieter-Automatisierungen und unsichtbaren Abhängigkeiten.
4. Erkennen von Vibe-Coding-Risiken: Wissen, wann eine „vibe-codete“ Website oder App professionelle technische und sicherheitsrelevante Aufsicht erfordert.

Mit Citizen AI verwandeln wir Sicherheit von einer reaktiven technischen Kontrolle in eine proaktive, unternehmensweite Gewohnheit. Gemeinsam können wir eine KI-fähige Belegschaft aufbauen, die Innovationen sicher, regelkonform und mit der Geschwindigkeit der beeindruckendsten technologischen Entwicklung unserer Zeit vorantreibt.