Überwiegen Sicherheitsrisiken den Produktivitätsgewinn?

KI-Codierung Tools haben die Welt der Softwareentwicklung in wenigen Jahren verändert, doch Sicherheitsrisiken und steigende Kosten im Zusammenhang mit KI-generiertem Code bedeuten, dass Unternehmen ihren potenziellen Return on Investment (ROI) berücksichtigen sollten, bevor sie ins kalte Wasser springen.

Allerdings sind viele Organisationen bereits ins kalte Wasser geraten. Laut GitLab 2026 Bericht zur KI-Verantwortung In dem letzten Monat veröffentlichten Bericht verwenden 91 % der Unternehmen zwei oder mehr Codierungstools und 54 % drei oder mehr. Je nachdem, welche Studie man betrachtet, variieren die Ergebnisse etwas. Eine schwarze Ente Umfrage stellte fest, dass die Akzeptanz von KI-Code in Unternehmen 97 % erreicht hatte. Die Futurum-Gruppe sagte 76,6 % der Unternehmen nutzen KI aktiv in Softwareentwicklungs-Workflows, während weitere 20,4 % dies evaluieren.

In der Unternehmensentwicklung wird KI häufig verwendet, um einige der sich eher wiederholenden Aufgaben zu automatisieren, mit denen sich Entwickler bei der Arbeit auseinandersetzen müssen. Große Sprachmodelle (LLMs) können auch zum Testen auf Schwachstellen und zur allgemeinen Codeintegrität verwendet werden, aber das ist noch nicht alles. Manche Menschen entscheiden sich dafür Vibe-Codewas sich auf die Praxis bezieht, natürliche Sprache nahezu oder vollständig zum Codieren von Software zu verwenden. Diejenigen, die sich mit Code auskennen, verstehen möglicherweise nicht unbedingt, wie man programmiert oder wie Computercode funktioniert.

Verwandt:Dialogflow CX „Rogue Agent“-Fehler ermöglichte KI-Chatbot-Datendiebstahl

Während die Berichte von GitLab und Black Duck auch erwähnen, dass Entwickler Produktivitätssteigerungen und/oder einen positiven ROI durch Codierungstools verspüren, erzählt das nicht die ganze Geschichte. SonarSources Umfrage zum Stand der Code-Entwickler 2026 sammelte 1.149 Antworten von Entwicklern auf der ganzen Welt und stellte fest, dass 72 % der Entwickler, die KI-Codierungstools ausprobiert haben, diese täglich verwenden. Unterdessen verspürten Entwickler im Durchschnitt einen Produktivitätszuwachs von 35 %, sagten die Befragten.

Allerdings gaben 96 % an, dass sie nicht vertrauen KI-generierter Code als funktional korrekt gelten, und 61 % glaubten, dass KI-Tools häufig Code erzeugen, der korrekt aussieht, aber nicht zuverlässig ist. Das ist wichtig, denn obwohl insgesamt viel Zeit mit der Überprüfung von KI-Code verbracht wird, gaben nur 48 % der Entwickler an, dass sie immer KI-generierten Code überprüfen, bevor sie ihn festschreiben. Im Allgemeinen sind sich Sicherheitsexperten einig, dass bei der Verwendung von KI-gestütztem oder generiertem Code ein erfahrener Entwickler auf dem Laufenden gehalten werden sollte, um sicherzustellen, dass der Code keine Geheimnisse preisgibt oder offensichtliche Schwachstellen enthält, die ein Bedrohungsakteur ausnutzen kann.

Die chaotische Schnittstelle zwischen KI-Code und Sicherheit

Das bringt uns zu den Sicherheitsrisiken, die mit KI-generiertem Code einhergehen. Veracodes KI-Forschung im letzten Jahr behauptete, dass 45 % der KI-generierten Codebeispiele OWASP-Top-10-Schwachstellen enthielten, und obwohl sich die Forschung über den genauen Prozentsatz nicht einig ist, bleibt der anfällige KI-Code eine gut untersuchtes Thema. Ein Teil des Problems besteht darin, dass KI-Modelle auf riesigen Repositories und Bibliotheken mit unsicherem Code trainieren.

Verwandt:Raffinierte Phishing-Kampagnen passen sich automatisch an das Gerät und das Betriebssystem des Opfers an

Im März dieses Jahres Vibe Security Radar von Georgia Tech Das Projekt verfolgte 35 CVEs, die es direkt KI-Codierungstools zuordnen konnte. Und es gibt auch das Problem „slopsquatting“ – etwa 20 % der KI-generierten Codebeispiele verweisen auf Pakete, die nicht existierenund Angreifer veröffentlichen bösartige Pakete mit diesen halluzinierten Namen, um Organisationen ins Visier zu nehmen.

Es gibt auch ein seit langem bestehendes Problem mit KI-generiertem Code Geheimnisse und fest codierte Anmeldeinformationen preisgebenund es gibt mittlerweile eine ganze Reihe von Untersuchungen zu Sicherheitsrisiken (und direkten Angriffen), die direkt mit den hohen Berechtigungsstufen und lockeren Vertrauensgrenzen in so vielen KI-Einsätzen verbunden sind.

Ben MartinMooney, Produktmarketingmanager bei GitGuardian, erklärt gegenüber Dark Reading, dass der Cybersicherheitsanbieter mehr Geheimnisse durch KI-Codierungstools preisgibt als durch herkömmliche Arbeitsabläufe.

„Der Aufstieg von KI-Code-Assistenten hat unbeabsichtigt zum Problem allgemeiner Geheimnisse beigetragen. Unseren Untersuchungen zufolge erhöht der Einsatz von KI-Code-Assistenten die Inzidenzrate von Geheimnissen um etwa 40 %“, sagt er. „Auf Commit-Ebene haben wir herausgefunden, dass Claude Code-unterstützte Commits zu 3,2 % Geheimnisse preisgaben, verglichen mit einem Basiswert von 1,5 % bei allen öffentlichen GitHub-Commits, was mehr als dem Doppelten entspricht.“

Verwandt:Neue Initiative befasst sich mit der Sicherheit von Open-Source-Software am Ende ihres Lebenszyklus

In Fällen, in denen Zugangsdaten durchgesickert sind, erfordert eine vollständige Behebung mehrere Schritte zwischen Rotation, Koordination mit Serviceeigentümern, die sich auf die Zugangsdaten verlassen, Bewertung dessen, was die Zugangsdaten berührt haben, und allgemeiner Bereinigung, an der mehrere Teams beteiligt sein können, erklärt MartinMooney. Der Wertrechner von GitGuardian beziffert den durchschnittlichen Behebungsaufwand auf mindestens zwei Technikerstunden pro Vorfall eines geleakten Zugangsdatensatzes. Dieser Wert kann deutlich höher ausfallen, wenn der Zugangsdatensatz in der Produktion aktiv ist und über mehrere Systeme verteilt ist.

Schlimmer noch, fügt er hinzu, dass die Kosten oft nie zurückgezahlt werden. Entsprechend neue Forschung Laut GitGuardian waren 64 % der durchgesickerten Anmeldeinformationen, die in öffentlichen GitHub-Commits gefunden und im Jahr 2022 als gültig bestätigt wurden, beim Test im Januar 2026 noch gültig, „was bedeutet, dass sie nie rotiert wurden“.

Wiz diese Woche enthüllte GhostApprovalein Schwachstellenmuster, das sechs der führenden KI-Codierungsassistenten betrifft, darunter Amazon Q Developer, Anthropischer Claude-CodeAugment, Cursor, Google Antigravity und Windsurf. „In jedem Fall kann ein bösartiges Repository den Agenten dazu verleiten, auf beliebige Dateien außerhalb der Workspace-Sandbox zuzugreifen und so möglicherweise eine Remote-Codeausführung auf dem Computer des Entwicklers zu erreichen“, so die Forscher. Das Unternehmen sagte, dass AWS, Cursor und Google das Problem behoben hätten, drei von ihnen hätten dies zum Zeitpunkt der Veröffentlichung noch nicht getan.

Rik Turner, Chefanalyst für Cybersicherheit bei Omdia (ebenfalls im Besitz von Informa TechTarget), sagt, er glaube, „wir stehen erst am Anfang“ des Sicherheitsproblems.

„Wenn menschliche Entwickler über Open-Source-Bibliotheken viele Schwachstellen in ihren Code einbauen, tun Codierungsagenten dasselbe, allerdings mit Steroiden“, sagt er. „Ich weiß nicht, ob die Labore dieses Problem angehen wollen, indem sie ihre Agenten von zwielichtigen Bibliotheken fernhalten, aber um ehrlich zu sein, gibt es so viele von letzteren, dass es für die Labore selbst eine Herkulesaufgabe sein könnte, die Agenten zu schulen und zu überprüfen, ob die sicheren Bibliotheken beim nächsten Mal noch sicher sind. Sie müssen das vielleicht an AppSec-Spezialisten auslagern.“

Das Dilemma der KI-Code-Kosten

Bei der Erörterung der Sicherheitsrisiken, die durch KI-Codierungstools entstehen, sind die Kosten der andere Faktor im Raum. Die Kosten für die KI-Nutzung steigen deutlich ein aktueller Gartner-Bericht behauptete die Erhöhung Token-Kosten wird dazu führen, dass die KI-Codierung bis 2028 teurer wird als das durchschnittliche Entwicklergehalt.

Der Grundpreis für KI-Codierungstools variiert und liegt in der Regel zwischen 19 und 40 US-Dollar pro Benutzer und Monat, wobei neben anderen Faktoren auch Compliance, Richtlinien, Infrastruktur und Token berücksichtigt werden, sobald eine Kreditobergrenze erreicht ist (je nach Tool). Bei einigen Premium-Stufen oder erweiterten Plattformen steigen die Kosten auf 60 bis 200 US-Dollar pro Benutzer und Monat.

Und auch die Überprüfung des KI-Codes ist keine leichte Aufgabe. Aus Kostensicht erklärt Chao Cheng-Shorland, CEO des Betriebssicherheitsunternehmens ShelterZoom, gegenüber Dark Reading, dass Sicherheitsteams, mit denen sie gesprochen hat, berichten, dass sie bis zu 40 % ihrer Zeit damit verbringen, Erkenntnisse zu prüfen, die letztlich nicht verwertbar sind. Das können Hunderttausende Dollar sein, die man dafür ausgibt, „nichts zu produzieren“.

„Jedes neue Scan-Tool, das zur Erkennung von KI-generierten Problemen hinzugefügt wird, bringt seine eigene Steuer mit sich: 40 bis 200 Stunden Integrationsarbeit, 20 bis 80 Stunden anfängliche Fehlalarm-Triage, Monate der Optimierung, bevor es tatsächlich seinen Lebensunterhalt verdient“, erklärt sie. „Behandeln Sie KI-gestützte Entwicklung als eine neue Kategorie von.“ technische Schulden Das erfordert eine eigene Budgetlinie und keine Funktion, die man auf eine bestehende Rezension aufbaut.“

Die Sperrung von KI ist an sich schon teuer. Die gemeinsame Verantwortung für Daten im KI-Ökosystem bleibt bestenfalls kompliziert, und der verantwortungsvolle Einsatz von KI bedeutet, die Systeme, die die KI berührt, zu inventarisieren und zu üben Zero-Trust-ModellVerwendung hochwertiger Authentifizierungsmethoden, Sicherstellung, dass KI-Tools die Grundsätze der geringsten Privilegien einhalten, Einhaltung der entsprechenden Leitplanken und Überprüfung der KI-Ausgaben auf Lecks. Es gibt eine ganze Branche von Anbietern von KI-Code-Sicherheit, die zur Lösung dieses Problems beitragen.

Auf der anderen Seite nennen Unternehmen, die mit Codierungstools Erfolge erzielt haben, Produktivitätssteigerungen, schnellere Markteinführungszeiten, schnelleres Onboarding für Nachwuchsentwickler und weniger Burnout. Die ultimative Frage lautet hier also: Lohnen sich KI-Codierungstools angesichts der Sicherheitsrisiken und steigenden Kosten trotz wahrgenommener Produktivitätssteigerungen seitens der Entwickler?

Die Antwort ist, wie bei ROI-Fragen üblich, dass es darauf ankommt, wer fragt.

Turner sagt, dass Unternehmen, die bei der Interaktion mit Verbrauchern stärker auf ihre Anwendungen angewiesen sind, am meisten von KI-Codierungstools profitieren werden, da die durch Codierungsagenten ermöglichte Geschwindigkeit es ermöglicht, Apps häufiger zu iterieren und die gesamte Organisation agiler zu machen. Er nannte Einzelhändler, Online-Händler und Banken als Beispiele für solche Organisationen, obwohl die Kosten für die Sicherung eines solchen Codes „den Umsatzanstieg bremsen werden“.

Andere Branchen, die nicht so schnelllebig sein müssen und weniger kundenorientiert sind, könnten Schwierigkeiten haben, die Ausgaben zu rechtfertigen, etwa die Öl- und Gasbranche oder der Schwermaschinenbau.

Auf die Frage, wie – oder sogar ob – KI-Codierungstools eingesetzt werden sollen, gibt es jedenfalls keine einfache Antwort, und jede Organisation, die dies möchte, sollte sicherstellen, dass ihre Sicherheitshygiene und -prozesse einigermaßen unter Kontrolle sind, bevor sie ins kalte Wasser stürzt.