Agentische KI und die Entwicklung der Codesicherheit in der modernen Softwareentwicklung

Der Aufstieg der agentischen künstlichen Intelligenz (KI) gestaltet grundlegend neu , wie Software entwickelt, getestet und abgesichert wird. 

In einem kürzlich geführten Gespräch mit Jeremy Katz, VP of Code Security bei Sonar, wurde deutlich, wie KI-gestützte Workflows die Entwicklung beschleunigen und zugleich neue Sicherheitsherausforderungen mit sich bringen, denen sich Unternehmen stellen müssen.

Agentenbasierte Workflows in der modernen Entwicklung

Agentenbasierte Workflows markieren den Wechsel von menschengesteuerter Programmierung zu KI-gestützter Ausführung. 

Anstatt dass Entwickler Code Zeile für Zeile schreiben, werden KI-Agenten mit übergeordneten Zielen betraut und erzeugen autonom Code, erstellen Tests und iterieren auf Grundlage der Ergebnisse. 

„Wir beobachten zunehmend Workflows, bei denen Agenten eine übergeordnete Aufgabe erhalten und sie ausführen. Das bedeutet, dass sie den Code schreiben, den Test verfassen, den Test ausführen und iterieren, sobald sie dabei auf Probleme stoßen“, sagte Katz.

So können Teams in deutlich kürzerer Zeit vom Konzept zu einem funktionierenden Ergebnis gelangen und oft schon nach einem kurzen Zyklus nutzbaren Code erhalten.

Das steigert zwar die Effizienz, verändert aber auch die Rolle der Entwickler – vom direkten Ersteller zum Prüfer und Wegweiser – und erfordert neue Ansätze für Überwachung und Validierung.

Sicherheitsauswirkungen der Codegenerierung mit Maschinengeschwindigkeit

Wenn Code mit Maschinengeschwindigkeit generiert wird, nimmt die traditionelle Tiefe des menschlichen Verständnisses ab. 

Entwickler erfassen möglicherweise nicht mehr jedes Implementierungsdetail vollständig, da KI-Systeme einen großen Teil der Ausführung übernehmen. 

Dadurch entsteht das Risiko, dass früh im Prozess eingeführte falsche Annahmen sich durch die gesamte Codebasis fortpflanzen, ohne hinterfragt zu werden.

Anders als menschliche Entwickler, die ihre Arbeit ganz selbstverständlich hinterfragen und überarbeiten, halten sich KI-Agenten meist strikt an anfängliche Annahmen. Dies kann zu sich summierenden Fehlern führen und macht die Validierung in frühen Prozessphasen entscheidend.

Grenzen herkömmlicher Codeprüfung und des herkömmlichen Scannings

Herkömmliche Sicherheitspraktiken wie das Scannen von Code in der kontinuierlichen Integration (CI) werden in diesem neuen Paradigma zunehmend weniger effektiv. 

Wenn Schwachstellen entdeckt werden, können sie bereits tief im KI-generierten Code verankert sein, wodurch ihre Behebung komplexer und kostspieliger wird.

Zudem machen Umfang und Geschwindigkeit des generierten Codes eine manuelle Prüfung sämtlicher Inhalte durch Menschen unrealistisch. 

Selbst mit verbesserten Prompting-Techniken, bei denen Entwickler KI-Systeme durch strukturierte Planung anleiten, kann die menschliche Überwachung allein nicht mit der von Maschinen erzeugten Menge Schritt halten.

Sicherheit in die „Inner Loop“ verlagern

Um diese Herausforderungen zu bewältigen, müssen Unternehmen Sicherheits- und Qualitätsprüfungen im Entwicklungslebenszyklus vorverlagern – ein Ansatz, der häufig als Verlagerung in die „Inner Loop“ bezeichnet wird. 

Das bedeutet, die Validierung direkt in den Codegenerierungsprozess einzubetten, statt bis zu späteren Phasen zu warten.

Durch Prüfungen in Echtzeit können Teams verhindern, dass beispielsweise fest einprogrammierte Geheimnisse oder unsichere Abhängigkeiten überhaupt erst eingeführt werden. 

Die frühzeitige Erkennung senkt das Risiko sich summierender Fehler und steigert die Gesamteffizienz, da Korrekturen bereits bei der Erstellung und nicht erst nach der Bereitstellung erfolgen.

Echtzeit- und autonome Verifizierung ermöglichen

Neue Ansätze konzentrieren sich darauf, automatisierte Leitplanken und deterministische Verifizierung in Entwicklungsworkflows zu integrieren. 

Diese Systeme bewerten den generierten Code kontinuierlich anhand vorab definierter Sicherheits- und Qualitätsstandards und stellen so die Compliance während des Schreibens sicher.

Technologien wie automatisierte Quality Gates und Tools zur Durchsetzung von Richtlinien ermöglichen es Unternehmen, zu definieren, wie akzeptabler Code aussieht. 

Statt sich ausschließlich auf menschliches Urteilsvermögen zu verlassen, bieten diese Systeme eine konsistente, skalierbare Validierung im Einklang mit den Anforderungen des Unternehmens.

Die Rolle der Sicherheitsteams neu denken

Da KI-Agenten beim Programmieren eine größere Rolle übernehmen, müssen sich Sicherheitsteams von Gatekeepern zu Wegbereitern entwickeln. 

Ihr Schwerpunkt sollte darauf liegen, Leitplanken zu entwerfen, Standards zu definieren und Sicherheitskontrollen in Entwicklungsworkflows einzubetten.

Sich der Einführung von KI zu widersetzen, ist keine tragfähige Strategie, da der organisatorische Druck zu höherer Geschwindigkeit und Effizienz weiter zunehmen wird. 

Stattdessen sollten Sicherheitsteams eng mit den Entwicklern zusammenarbeiten, damit Innovation nicht zulasten des Risikomanagements geht.

Ausblick: Konvergenz und Zusammenarbeit

Mit Blick auf die Zukunft dürften die Grenzen zwischen Entwicklung, Sicherheit und Betrieb weiter verschwimmen. 

Entwickler werden mehr Verantwortung für die Sicherheit übernehmen, während gemeinsame Standards und automatisierte Verifizierungssysteme für Konsistenz in allen Teams sorgen.

KI-Agenten werden zu unverzichtbaren Mitwirkenden, die menschliche Fähigkeiten erweitern, statt sie zu ersetzen. 

Der Erfolg wird davon abhängen, wie effektiv Unternehmen ihre Prozesse anpassen, Automatisierung nutzen und klare Standards für die sichere Softwareentwicklung etablieren.

Agentische KI beschleunigt die Softwareentwicklung in einem beispiellosen Tempo, erfordert aber auch ein grundlegendes Überdenken der Sicherheitspraktiken. 

Wenn Unternehmen Sicherheit im Zeitalter der KI-gestützten Entwicklung neu denken, ist Zero Trust ein Modell, das auf kontinuierlicher Verifizierung und der Beseitigung impliziten Vertrauens in allen Systemen beruht und dazu beitragen kann, das organisatorische Risiko zu senken.