10 wichtige Prognosen: Secure Code Warrior über den Einfluss von KI und Secure-by-Design im Jahr 2025

Mit Blick auf das Jahr 2025 — nach einem aufregenden und herausfordernden Jahr — wird die Schnittstelle zwischen KI und Softwareentwicklung die Entwickler-Community weiterhin maßgeblich prägen.

Unternehmen stehen vor schwierigen Entscheidungen über den Einsatz von KI, um den langfristigen ROI von Produktivität, Nachhaltigkeit und Sicherheit zu unterstützen. In den letzten Jahren wurde uns klar, dass KI die Rolle des Entwicklers niemals vollständig ersetzen wird. Von Partnerschaften zwischen KI und Entwicklern bis hin zum zunehmenden Druck (und der Verwirrung) im Zusammenhang mit den Erwartungen an Secure-by-Design — schauen wir uns genauer an, was uns im nächsten Jahr erwarten wird:
‍

Die KI-Gleichung neu schreiben: Nicht KI statt Entwickler, sondern KI + Entwickler

„Da Unternehmen 2025 aufgefordert werden, drastische Kostensenkungsmaßnahmen zu ergreifen, wäre es nicht überraschend, dass Entwickler durch KI-Tools ersetzt werden. Doch genau wie in der Situation, als Generative KI ihr Debüt feierte und nun, nach jahrelangen Updates und weiteren, die noch folgen werden, ist sie immer noch kein sicherer, autonomer Produktivitätstreiber, insbesondere bei der Codeerstellung. KI ist eine höchst disruptive Technologie mit vielen großartigen Anwendungen und Anwendungsfällen, aber sie ist kein ausreichender Ersatz für qualifizierte menschliche Entwickler. Ich stimme zu Forresters Prognose, dass diese Umstellung hin zu KI und menschlichem Ersatz im Jahr 2025 wahrscheinlich scheitern wird, insbesondere auf lange Sicht. Ich denke, die Kombination aus KI und Entwickler wird dies mit größerer Wahrscheinlichkeit erreichen als KI allein.“

‍

KI bietet eine Mischung aus Risiken und Chancen

„Im Jahr 2025 werden wir neue Risikofälle durch KI-generierten Code erleben, darunter die negativen Auswirkungen bekannter Probleme wie Halluzinationen, vergiftete Bibliotheken und Exploits, die sich auf die Software-Lieferkette auswirken. Darüber hinaus wird KI viel häufiger zum Auffinden von Fehlern im Code eingesetzt und auch genutzt werden, um Exploits dafür zu schreiben, wie Googles Projekt Zero gerade demonstriert. Im Gegensatz dazu werden wir meiner Meinung nach auch einige anfängliche Reifegrade erreichen, da Unternehmensentwickler in der Lage sind, diese Tools in ihrer Arbeit zu nutzen, ohne zu viel zusätzliches Risiko einzugehen. Dies wäre jedoch die Ausnahme, nicht die Regel, und es würde davon abhängen, dass ihre Organisation das Entwicklerrisiko aktiv misst und ihr Sicherheitsprogramm entsprechend anpasst. In dem sich schnell entwickelnden Bedrohungsumfeld, das 2025 mit Sicherheit mit sich bringen wird, werden es die erfahrenen, sicherheitsbewussten Entwickler mit zugelassenen KI-Codierungstools sein, die in der Lage sein werden, Code schneller zu produzieren, während Entwickler mit geringem Sicherheitsbewusstsein und allgemeinen Fähigkeiten nur mehr Probleme mit höherer Geschwindigkeit einführen werden.“

‍

Aus den [KI] -Schatten ausbrechen

„Die Gesetzeslandschaft rund um KI verändert sich rasant, um mit den häufigen Fortschritten der Technologie und ihrer Akzeptanz Schritt zu halten. Im Jahr 2025 müssen Sicherheitsverantwortliche sicherstellen, dass sie bereit sind, potenzielle Richtlinien einzuhalten. Eine Kombination der folgenden Aspekte — das Verständnis der Natur der „Schatten-KI“ und die anschließende Sicherstellung, dass sie nicht in der Organisation eingesetzt wird, gefolgt von der strikten Verwendung ausschließlich zugelassener, verifizierter Tools, die auf Unternehmenssystemen installiert sind — wird sich im kommenden Jahr als äußerst wichtig für Unternehmen erweisen. Dies wird zu einer genaueren Bewertung der Entwicklungskohorte führen, um zu verstehen, wie sie am besten unterstützt werden müssen, um ihre Sicherheitsfähigkeiten kontinuierlich zu verbessern und sie auf alle Aspekte ihrer Arbeit anzuwenden.“

‍

Die Sicherheitslage von KI-Tools wird für Entwickler eine wichtige Messgröße sein

„Im Moment ist es ein kostenloser Markt, was LLM-gestützte Codierungstools angeht. Es tauchen ständig neue Produkte auf, von denen jedes eine bessere Leistung, Sicherheit und Produktivität bietet. Zu Beginn des Jahres 2025 benötigen wir einen Standard, anhand dessen jedes KI-Tool verglichen und auf seinen Sicherheitsstatus hin bewertet werden kann. Dazu gehören auch Codierungsfunktionen, insbesondere die Fähigkeit, Code mit guten, sicheren Codierungsmustern zu generieren, der von Bedrohungsakteuren nicht ausgenutzt werden kann.“

‍

KI wird es Nachwuchsentwicklern erschweren, in das Feld einzusteigen

„Entwickler haben mehr Markteintrittsbarrieren als je zuvor. Angesichts hybrider und verteilter Belegschaften und des Qualifikationsniveaus, das für Einstiegspositionen erforderlich ist, wird die Messlatte für Nachwuchsentwickler von Jahr zu Jahr höher gelegt. Im Jahr 2025 werden Arbeitgeber erwarten, dass junge Entwickler bereits zu Beginn ihrer Tätigkeit über die Fähigkeiten und das Wissen verfügen, um KI-Tools sicher in ihren Arbeitsablauf zu integrieren und zu optimieren — anstatt Zeit für die Ausbildung am Arbeitsplatz aufzuwenden. Innerhalb des nächsten Jahres werden Entwickler, die nicht lernen, wie sie KI-Tools in ihrem Entwicklungsworkflow einsetzen können, mit erheblichen Konsequenzen für ihr eigenes Karrierewachstum konfrontiert sein — und sie werden vor Herausforderungen stehen, wenn es darum geht, sich Beschäftigungsmöglichkeiten zu sichern. Sie riskieren, ihre „Lizenz zum Programmieren“ zu behindern, was ihre Teilnahme an komplexeren Projekten verhindert, da sichere KI-Kenntnisse letztendlich von entscheidender Bedeutung sein werden.“

‍

Die Zeit wird Unternehmen daran hindern, Secure by Design zu erreichen

„Entwickler benötigen ausreichend Zeit und Ressourcen, um sich weiterzubilden und sich mit den richtigen Tools und Praktiken vertraut zu machen, um „Secure by Design“ zu erreichen. Wenn Unternehmen nicht die Unterstützung von führenden Sicherheits- und Technikern erhalten, werden ihre Fortschritte behindert — oder ganz ins Stocken geraten. Wenn Unternehmen versuchen, Kosten zu senken oder Ressourcen einzuschränken, geben sie oft sofortigen Abhilfemaßnahmen Vorrang vor langfristigen Lösungen. Dabei konzentrieren sie sich auf vielschichtige Tools zur Problembehebung, die einige Dinge einfach „okay“ und alles andere „mittelmäßig“ machen. Im Jahr 2025 wird dieses Ungleichgewicht zu einer größeren Diskrepanz zwischen Unternehmen führen, die der sicheren Softwareentwicklung Priorität einräumen, und denen, die nur eine schnelle Lösung suchen, um mit einer sich ändernden Landschaft Schritt zu halten.“

‍

Sicherheitsaudits in der Lieferkette werden eine entscheidende Rolle bei der Minderung globaler Risiken spielen

„Alle Outsourcing-Anbieter und Drittanbieter werden zunehmend unter die Lupe genommen werden. Sie können intern das beste Sicherheitsprogramm haben, aber bei Unternehmen, an die Sie auslagern, kann das gesamte Sicherheitsframework gefährdet werden, wenn sie Secure by Design nicht anwenden. Das hat zur Folge, dass Unternehmen ihre Outsourcing-Bemühungen einer eingehenden Prüfung unterziehen werden, was die Unternehmensleiter unter Druck setzt, strenge Sicherheits- und Branchenrichtlinien einzuhalten. Letztlich hängt der Erfolg von Sicherheitsteams von einer ganzheitlichen Rundumsicht ab — einschließlich eines einheitlichen Ansatzes für das gesamte Unternehmen und alle externen Partner.“

‍

KI wird bei „Cutting Through the Noise“ eine wichtige Rolle spielen

“Entwicklungsteams haben mit Fehlalarmen bei Code-Schwachstellenscannern zu kämpfen. Wie können sie sicher sein, dass die ihnen zugewiesenen Sicherheitslücken tatsächlich ein Sicherheitsrisiko darstellen? Im Jahr 2025 wird KI ein entscheidendes Tool sein, das Entwicklern hilft, sich bei der Codekorrektur „durch den Lärm zu schlagen“ — und ein tieferes Verständnis des Codes selbst ermöglichen. Durch den Einsatz von maschinellem Lernen kann KI reale Bedrohungen anhand des Kontextes besser priorisieren und so den Zeitaufwand für die Verbesserung der Genauigkeit von Sicherheitswarnungen reduzieren. Dadurch können sich die Teams auf die Sicherheitslücken konzentrieren, die wirklich ein Risiko darstellen, was die Gesamteffizienz erhöht und schnellere, sicherere Entwicklungszyklen ermöglicht.“

‍

Benchmarking wird die Lösung für Unternehmen sein, um Secure-by-Design-Ziele zu erreichen

„Das Fehlen eines Sicherheits-Benchmarks wird sich 2025 als nachteilig für Unternehmen erweisen, da sie keine klare Ausgangsbasis haben werden, um ihre Fortschritte bei der Erfüllung der Secure by Design-Standards zu messen. Ohne ein Benchmarking-System, mit dem bewertet wird, wie Teams sichere Codierungspraktiken einhalten, laufen diese Unternehmen Gefahr, versehentlich Sicherheitslücken einzuführen, die zu einer schwerwiegenden Sicherheitsverletzung führen könnten. Und wenn es doch zu einer Sicherheitsverletzung kommt, haben sie höchstwahrscheinlich keine Zeit, ein Benchmarking-System zu implementieren, sondern werden eher gezwungen sein, ihre SBD-Initiativen zu beschleunigen, ohne vorher den Sicherheitsgrad ihrer Entwicklerteams zu beurteilen, was ihr Unternehmen letztlich noch größeren Risiken aussetzt.“

‍

Technische Schulden auf Kosten von KI-generiertem Code

„Es ist kein Geheimnis, dass die Branche bereits ein massives Problem mit technischen Schulden hat — und zwar mit Code, der bereits geschrieben wurde. Angesichts der zunehmenden blinden Abhängigkeit der Entwickler von inhärent unsicherem, KI-generiertem Code und der eingeschränkten Aufsicht durch die Geschäftsleitung wird es nur noch schlimmer werden. Es ist sehr wahrscheinlich, dass diese Dynamik dazu führen könnte, dass wir im kommenden Jahr einen zehnfachen Anstieg der gemeldeten CVEs verzeichnen.“

‍

Für ein erfolgreiches Jahr 2025 müssen Unternehmen bereit sein, KI verantwortungsbewusst und sicher einzuführen und ihre Entwicklungsteams angemessen zu schulen und zur Risikominderung zu investieren. Im nächsten Jahr jährt sich das Secure-by-Design-Versprechen von CISA zum ersten Mal. Die Marken, die ihren Wettbewerbsvorteil behalten werden, sind diejenigen, die ihren sicheren Entwicklungsansatz priorisieren, um Risiken im Zusammenhang mit KI, Sicherheitsbedenken Dritter und zusätzlichen neu auftretenden Bedrohungen bestmöglich zu eliminieren.