Der Aufstieg der „Builder-Kultur“ verändert, wie Unternehmen Technologie einführen, bringt aber auch neue Sicherheitsherausforderungen mit sich.
Da Beschäftigte zunehmend selbst Automatisierungen erstellen, KI-Tools einsetzen und Anwendungen integrieren, sehen sich Sicherheitsteams mit Risiken konfrontiert, für die viele bestehende Programme nicht ausgelegt sind.
Laut einer Studie von Vanta breiten sich Builder-Rollen in Unternehmen rasant aus.
Rollen wie GTM-Engineer, Marketing-Engineer und Legal-Engineer werden immer häufiger, da Unternehmen ihre Beschäftigten dazu ermutigen, Prozesse zu automatisieren und eigene Lösungen zu entwickeln.
In Vantas Kundenbasis von mehr als 16.000 Unternehmen wuchsen Builder-Rollen im Jahresvergleich um 311 %, darunter ein Anstieg der GTM-Engineer-Positionen um 1.329 % und der Legal-Engineer-Rollen um 850 %.
„Unsere Daten zeigen, dass die Builder-Kultur den Bereitstellungsbutton aus der Entwicklung in alle Unternehmensbereiche verlagert hat“, sagte James Park, Senior Manager of Data Science bei Vanta, in einer E-Mail an eSecurityPlanet.
James erklärte: „Sicherheitsprogramme wurden nicht für diese Welt entwickelt. Die Angriffsfläche wächst unbemerkt: Neue Tools, Workflows und Modelle werden schneller eingerichtet, als irgendein Prüfprozess sie erfassen kann. Deshalb muss Sicherheit kontinuierlich und nicht in vierteljährlichen Zyklen erfolgen.“
Die wichtigsten Erkenntnisse aus Vantas Ergebnissen
- Builder-Rollen wachsen in Unternehmen rasant und treiben die zunehmende Nutzung von KI-Tools, Automatisierungen und individuellen Workflows außerhalb traditioneller Entwicklungsteams voran.
- Unternehmen mit Builder-orientierten Rollen nutzen 73 % häufiger KI-Anbieter und 42 % mehr Anbieter als Unternehmen ohne solche Rollen.
- Sicherheitsteams verzeichnen einen Anstieg KI-bezogener Risiken: Fast die Hälfte der KI-Sicherheitswarnungen betrifft verdächtige oder nicht vertrauenswürdige KI-Modelle, die auf virtuellen Maschinen ausgeführt werden.
- Shadow AI, No-Code-Plattformen, Workflow-Automatisierungen und Open-Source-KI-Modelle können Sicherheitsrisiken schaffen, die herkömmliche Anbieterprüfungen häufig umgehen.
- Sicherheitsprogramme müssen sich weiterentwickeln, indem sie Governance, Anbieterrisikomanagement und Sicherheitskontrollen über die Entwicklung hinaus ausweiten, um die wachsende Builder-Belegschaft zu unterstützen.
Die Einführung von KI beschleunigt sich
Unternehmen mit Builder-orientierten Rollen führen Tools für künstliche Intelligenz deutlich häufiger ein als Unternehmen ohne solche Rollen.
Vanta stellte fest, dass Builder-Unternehmen 73 % häufiger KI-Anbieter nutzen; OpenAI, Anthropic und Cursor gehören dabei zu den am weitesten verbreiteten Plattformen.
Das Wachstum spiegelt einen umfassenderen Wandel in der Arbeitsweise wider.
Beschäftigte verlassen sich zunehmend auf KI-Tools und individuelle Automatisierungen, um Geschäfts-Workflows zu optimieren.
Diese Ansätze können zwar die Produktivität steigern und Entwicklungskosten senken, schaffen aber auch neue Sicherheitsaspekte , die über herkömmliche Softwareentwicklungsprozesse hinausgehen.
Sicherheitsteams sehen neue Risikoformen
Eine der bemerkenswertesten Erkenntnisse aus Vantas Untersuchung ist das Auftreten einer neuen Kategorie von Sicherheitswarnungen, die sich speziell auf KI-bezogene Risiken konzentriert.
Vor zwölf Monaten meldete das Unternehmen in seiner gesamten Kundenbasis keine KI-Sicherheitswarnungen.
Heute werden jeden Monat Hunderte KI-bezogener Warnungen erzeugt.
Fast die Hälfte dieser Warnungen betrifft virtuelle Maschinen mit verdächtigen oder nicht vertrauenswürdigen KI-Modellen.
Diese Vorfälle können darauf zurückzuführen sein, dass technische Teams mit neuen Modellen experimentieren oder nichttechnische Beschäftigte KI-Tools einsetzen, ohne die damit verbundenen Sicherheitsauswirkungen vollständig zu verstehen.
In beiden Fällen deuten die Ergebnisse darauf hin, dass ein breiterer Zugang zu Infrastruktur und KI-Technologien die Angriffsfläche eines Unternehmens vergrößern kann, wenn keine geeigneten Governance-Kontrollen vorhanden sind.
Anbieterrisiken weiten sich über herkömmliche Prüfungen hinaus aus
Die zunehmende Aktivität von Buildern führt auch zu einer stärkeren Nutzung von Anbietern.
Unternehmen mit Builder-Rollen nutzen laut Vantas Daten 42 % mehr Anbieter als Unternehmen ohne solche Rollen.
Mehr als ein Drittel dieser Anbieter wird als Risiko mit hoher oder kritischer Einstufung klassifiziert.
Die Herausforderung wird durch das anhaltende Wachstum von Shadow IT und Shadow AI.
Frühere Untersuchungen von Vanta ergaben, dass 70 % der Unternehmen Shadow AI einsetzen und Shadow IT im Jahresvergleich um 36 % zunahm.
Da viele dieser Tools außerhalb formeller Beschaffungsprozesse eingeführt werden, umgehen sie häufig Sicherheitsprüfungen vollständig.
Vanta schätzt, dass 98 % der Shadow-IT-Anbieter niemals einer Sicherheitsbewertung unterzogen werden.
Das Risiko geht über die Anbieter selbst hinaus.
No-Code-Plattformen, Workflow-Automatisierungen, KI-Agenten und aus Repositorien wie Hugging Face heruntergeladene Open-Source-Modelle tauchen möglicherweise nie in herkömmlichen Anbietermanagementprogrammen auf und schaffen zusätzliche blinde Flecken für Sicherheitsteams.
Sicherheit für den modernen Arbeitsplatz entwickeln
Während Unternehmen die Builder-Kultur weiter annehmen, müssen sich Sicherheitsprogramme mit ihnen weiterentwickeln.
Vanta empfiehlt, Anbieterprüfungen anhand von Risikostufen zu automatisieren, Verzeichnisse freigegebener KI-Tools zu erstellen, OAuth-Berechtigungen zu überprüfen und sichere Entwicklungspraktiken über traditionelle Entwicklungsteams hinaus auszuweiten.
Zu den weiteren Empfehlungen gehören schlanke Sicherheitsprüfungen für No-Code-Anwendungen und KI-gestützte Workflows, die Integration von Richtlinien-als-Code-Kontrollen in Entwicklungspipelines sowie die Einrichtung von Governance-Rahmenwerken für von Buildern erstellte Anwendungen.
Die Builder-Kultur verändert die Arbeitsweise von Unternehmen, und Sicherheitsteams müssen sich entsprechend anpassen.
Da immer mehr Beschäftigte Automatisierungen, KI-Tools und individuelle Workflows bereitstellen können, sind Unternehmen, die ihre Sicherheitsprozesse an moderne Arbeitsweisen anpassen, besser aufgestellt, um Risiken zu bewältigen und gleichzeitig Innovationen zu fördern.