Gemeinsam stark: Wie KI-Codierungstools und sicherheitsbewusste Entwickler sicher zusammenarbeiten können

Von KI erstellter Code kann voller Schwachstellen und Fehler stecken, doch KI-gestützte Codierungstools können dennoch hilfreich sein, wenn sie mit sicherheitsbewussten menschlichen Entwicklern kombiniert werden.  

Während 2023 ein enormer Aktivitätsschub zu verzeichnen war, gepaart mit einer massiven Popularitätswelle der neuesten Iteration künstlicher Intelligenz, generativer KI, ist klar, dass diese transformative Technologie gerade erst am Anfang steht. Die meisten Experten prognostizieren, dass sie 2024 noch größere Höhen erreichen wird.

Und da das Schreiben von Code in mehreren Sprachen eine der ersten Demonstrationen der Fähigkeiten generativer KI war, überrascht es nicht, dass aktuelle Umfragen ergeben haben, dass bis zu 93 % der Entwicklungsteams KI-Tools als Teil ihres Workflows nutzen. Erst in letzter Zeit haben diese Teams begonnen, einige der negativen Nebenwirkungen dieser Entscheidung zu spüren, da der von der KI erstellte Code voller ausnutzbarer Schwachstellen sein kann. 

Tatsächlich sind KI-Codierungstools nach aktuellem Stand nicht in der Lage, anfälligen Code zuverlässig zu erkennen, geschweige denn diese Fehler beim Generieren von neuem Code zu vermeiden. In einer umfassenden Studie, die von der University of Maryland, UC Berkeley, Google und anderen durchgeführt wurde, untersuchten Forscher 11 KI-Modelle aus vier verschiedenen Gruppen und beauftragten sie damit, Schwachstellen in von KI-Tools generiertem Computercode aufzudecken. Aufgrund hoher Fehlalarmraten und einer geringen Genauigkeit bei der Erkennung von Schwachstellen kamen die Forscher zu dem Schluss, dass die KI für diese Rolle schlichtweg noch nicht bereit ist. Und das wird sie vielleicht auch nie sein, denn selbst nachdem die Forscher versuchten, die Modelle durch die Eingabe zahlreicher Beispiele für sicheren Code anzupassen, scheiterten sie weiterhin mit inakzeptabel hohen Raten.

In einer weiteren Studie der Universität von Quebec forderten Forscher die populäre generative KI ChatGPT auf, 21 verschiedene Programme und Anwendungen in einer Vielzahl von Sprachen zu erstellen. Während alle von der KI programmierten Anwendungen wie beabsichtigt funktionierten, waren nur fünf aus Cybersicherheits-Sicht sicher. Der Rest wies gefährliche Schwachstellen auf, die Angreifer hätten nutzen können, um jedes Unternehmen zu kompromittieren, das sie einsetzte.

Mensch und KI – ein starkes Team!

Wer sich mit KI-Entwicklung befasst, sollte von diesen und vielen anderen Studien mit ähnlichen Ergebnissen, mich eingeschlossen, nicht allzu überrascht sein. Generative KIs können neue Inhalte erstellen, indem sie auf große Sprachmodelle zurückgreifen – im Grunde riesige Datenbanken mit gesammeltem menschlichem Wissen, die die KI schnell durchsuchen und analysieren kann, um neue Antworten und Inhalte zu generieren. Das Problem ist, dass diese großen Sprachmodelle sowohl die guten als auch die schlechten Aspekte all dessen enthalten, was Menschen jemals geschaffen haben. 

In Bezug auf Code bedeutet dies, dass viele Schwachstellen und schlechte Praktiken in diesen großen Sprachmodellen enthalten sind. Jede einzelne OWASP-Schwachstelle ist in diesen Modellen absolut verborgen, ebenso wie Tausende andere. Wenn ein Mensch jemals einen Fehler gemacht und eine anfällige Anwendung programmiert hat, ist die Wahrscheinlichkeit groß, dass dies in den Modellen enthalten ist, auf die KIs heute zugreifen. Und es besteht eine gute Chance, dass eine KI diese Fehler auch beim Generieren komplexer neuer Anwendungen übernimmt. 

Was ist also die Lösung? Können wir weiterhin die Geschwindigkeitsvorteile der KI-Codierung nutzen und gleichzeitig sicheren Code generieren? Ja, aber nur, wenn Menschen und KI zusammenarbeiten und jeder das tut, was er am besten kann.

Trotz all ihrer erstaunlichen Leistungen versteht KI den Kontext nicht wirklich. Man kann sie beispielsweise bitten, die Infrastruktur für einen Online-Shop zu programmieren, aber sie weiß nicht, was Sie verkaufen wollen, wie man die richtigen Produkte den richtigen Besuchern anzeigt oder welche Komplexität Ihre Backend-Lieferkette aufweist. Code zu schreiben, der all das berücksichtigt, ist eher Aufgabe menschlicher Entwickler, deren Hauptaufgabe darin besteht, Programme zu schreiben, die bei der Lösung geschäftlicher Probleme helfen. Menschen, insbesondere solche, die schon lange in ihrer jeweiligen Branche tätig sind, sind sehr gut darin, solche Probleme zu lösen. Aber selbst die besten Programmierer brauchen manchmal eine Auffrischung, wenn es um die Details komplexer Implementierungen geht.

In der aktuellen Stack Overflow Developer Survey gaben beispielsweise 63 % der befragten Entwickler an, dass sie täglich mindestens 30 Minuten oder länger damit verbringen, nach Antworten zur Implementierung bestimmter Aspekte einer Anwendung oder eines Programms zu suchen, an dem sie gerade arbeiten. Dieses sogenannte kognitive Umschalten, bei dem ein Mensch von einem kreativen Prozess zu einem eher routinemäßigen oder forschungsintensiven Prozess wechseln muss, frisst jeden Tag viel produktive Zeit. 

Genau hier können KI-Tools jedoch eine virtuelle Hilfestellung bieten. Wenn ein menschlicher Entwickler an einem Gesamtprogramm oder einer Anwendung wie dem erwähnten Online-Shop arbeitet und bei einem Aspekt der Implementierung feststeckt, kann ein KI-Tool helfen. Das Schreiben von Code zur Anbindung einer Produktdatenbank an eine Lieferkettenanwendung kann beispielsweise extrem schnell von einem KI-Tool erledigt werden, ohne dass die KI den Gesamtkontext oder die Mission des Projekts verstehen muss. Es ist zudem weitaus unwahrscheinlicher, dass Schwachstellen implementiert werden, wenn die KI nur mit grundlegenden Aspekten des Codes beauftragt wird.  

Vertrauen ist gut, Kontrolle ist besser

Die Kombination von menschlichen Entwicklern und KI-Tools, bei der jeder seine Stärken ausspielen kann, ist eine lohnende Strategie. Sie beschleunigt den Codierungsprozess und begrenzt gleichzeitig einige der Gefahren, die von KI-induzierten Schwachstellen im Code ausgehen. Die KI mit kleineren Elementen der Codeerstellung zu beauftragen, ist weniger riskant, aber Schwachstellen können dennoch auftreten.

Deshalb ist eine Sicherheitsschulung für Entwickler unerlässlich. Wenn ein Mensch sowohl den Gesamtkontext des Projekts als auch die besten Sicherheitspraktiken versteht, kann er schnell überprüfen, ob der von der KI geschriebene Code korrekt und frei von Schwachstellen oder anderen Problemen wie Logikfehlern ist. Es wird viel Zeit gespart, da der Entwickler nicht nachschlagen muss, wie der von der KI generierte Teil zu erstellen ist, sondern lediglich sicherstellen muss, dass er sicher ist, und eventuelle Fehler beheben kann.

KI-Tools sind beeindruckend und können den Entwicklungsprozess erheblich beschleunigen. Sie sind jedoch nicht in der Lage, zuverlässig sicheren Code zu schreiben, und aktuelle Studien deuten darauf hin, dass sie dieses Ziel möglicherweise nie erreichen werden. Dennoch können sie in der Softwareentwicklung unglaublich nützlich sein, solange sie mit qualifizierten, gut geschulten und sicherheitsbewussten Entwicklern kombiniert werden.