Hinter dem Hype: Die tatsächlichen Auswirkungen von KI auf die Sicherheit von Webanwendungen

In dem Maße, wie Organisationen beginnen, KI-generierten Code und KI-gesteuerte Funktionen in ihre Anwendungen zu integrieren, beginnt sich die Form der Angriffsfläche auf subtile, aber wichtige Weise zu verändern - oft bevor die Teams die Auswirkungen vollständig verstehen.

Um zu erfahren, wie sich dieser Wandel in der Praxis vollzieht, haben wir mit Patrick Double, Security Engineer bei Bureau Veritas Cybersecurity, gesprochen. Patrick hat seine gesamte berufliche Laufbahn mit Webanwendungen verbracht, lange bevor es "Cybersecurity" als eigene Disziplin gab. Sein frühes Interesse an Kryptographie und sicherer Codierung führte ihn allmählich in den Sicherheitsbereich, wo er sich nun auf das Assessment von Anwendungen konzentriert und Organisationen dabei hilft, die Risiken zu bewältigen, die mit den raschen Veränderungen der Entwicklungsmuster einhergehen.

Patrick hat beobachtet, wie viele neue Technologien mit dem Versprechen von Geschwindigkeit und Produktivität in die Welt der Webentwicklung Einzug gehalten haben. Mit der Zeit hat jede von ihnen Schwachstellen aufgedeckt, die nicht sofort offensichtlich waren. Er stellt fest, dass die KI eine ähnliche Entwicklung durchläuft - in vielerlei Hinsicht umwälzend, aber nicht frei von den Lektionen, die die Branche bereits aus der Geschichte gelernt hat.

Was bringt jemanden dazu, sich mit der Sicherheit von Webanwendungen zu befassen?

Patricks Weg in die Cybersecurity begann lange bevor die Branche Gestalt annahm. Er studierte Computertechnik und arbeitete sowohl mit Hardware als auch mit Software, aber es war ein Kryptographiekurs an der Universität, der sein Interesse daran weckte, wie Systeme Informationen validieren und schützen. "Es war sehr mathematisch und faszinierend für mich", erinnert er sich. "Ich konnte nicht genug davon bekommen."

Zu Beginn seiner Karriere belegte er ein Training in sicherer Programmierung, das ihn mit der Kreativität vertraut machte, die hinter dem Exploit und der Verteidigung von Webanwendungen steckt. Diese Erfahrung änderte seine Richtung. Webanwendungen waren bereits Teil seiner Arbeit, so dass es sich anbot, sich mit deren Sicherheit zu beschäftigen. Mit zunehmender Reife des Fachgebiets fühlte er sich zunehmend von der Herausforderung angezogen, Schwachstellen zu identifizieren und zu verstehen, wie selbst kleine Designentscheidungen erhebliche Konsequenzen haben können.

Wie beeinflusst die Erfahrung mit der Sicherheit von Webanwendungen die Sichtweise auf KI?

Durch die Arbeit mit mehreren Wellen von Entwicklungstools erkennt Patrick wiederkehrende Muster in der Art und Weise, wie sich Teams neue Technologien zu eigen machen. Die Entwickler stoßen auf Komplexität oder Ineffizienz, schaffen neue Abstraktionen oder Frameworks und nehmen diese schnell an. Sicherheitserwägungen kommen oft erst hinterher, wenn die Unzulänglichkeiten des neuen Systems deutlich werden.

"Die Menschen sehen eine neue coole Sache und rennen damit los", erklärt er. "Aber wenn Software-Frameworks auf den Markt kommen, wird in der Regel erst dann an die Sicherheit gedacht, wenn die Probleme auftauchen."

Mit der gleichen Vorsicht geht er auch an KI heran. Aus seiner Sicht handelt es sich um ein weiteres mächtiges Werkzeug, das man erst gründlich verstehen muss, bevor man ihm vertraut. Er vermeidet es, brandneue Technologien sofort zu übernehmen, sondern wartet lieber, bis erste Probleme aufgetaucht sind. Dieser Instinkt prägt die Art und Weise, wie er KI heute bewertet - nicht als etwas, das von Natur aus gefährlich oder sicher ist, sondern als etwas, das sich erst durch genaue Prüfung beweisen muss.

Wo bietet die KI einen echten Nutzen und wo zeigen sich ihre Grenzen?

Patrick glaubt, dass KI eine sinnvolle Hilfe bei der Erstellung der Routinebausteine von Anwendungen ist. Die meisten Produkte benötigen die gleichen grundlegenden Komponenten: Datenbanken, Identitätsmanagement, API-Wrapper. Wenn Sie KI diese Komponenten erstellen lassen, können Sie die Entwicklung erheblich beschleunigen. So können sich die Entwickler mehr Zeit für die Funktionen nehmen, die ihre Anwendung einzigartig machen.

Der Punkt, an dem KI unrealistisch wird, ist der Versuch, Entwickler vollständig zu ersetzen oder ihr zuzutrauen, komplexe, neuartige Logik zu entwickeln. KI wird auf bestehende Muster trainiert, nicht auf die Innovationen, die ein Produkt von einem anderen unterscheiden. "KI kann nur schreiben, was bereits getan wurde", erklärt er. "Sie kann nicht unabhängig denken. Sie versteht keine Nuancen oder Zusammenhänge, es sei denn, Sie geben sie vor."

Er warnt davor, dass die Annahme, KI könne ganze Anwendungen eigenständig erstellen, ein erhebliches Risiko darstellt. Die wichtigsten Teile der Software - die Geschäftslogik, die Randfälle, die Designentscheidungen - erfordern immer noch menschliches Verständnis.

Wie verändert die KI die Landschaft der security testing für Webanwendungen?

Patrick sieht in der KI einen vielversprechenden Verbündeten beim security testing, insbesondere weil moderne Webanwendungen so umfangreich sind. Eine einzige Website kann Tausende von Seiten und Dutzende von verschiedenen Funktionen enthalten. Menschliche Tester können nicht jeden Pfad mit der gleichen Tiefe erforschen, aber KI kann große Anwendungsoberflächen schnell analysieren und kategorisieren.

Er hat bereits KI eingesetzt, um bei der frühen Analyse zu helfen. "KI wird nicht langweilig", stellt er fest. "Sie kann sich eine ganze Website ansehen und mir sagen, welche Abschnitte riskant aussehen und sogar einige Schwachstellen finden.

So können sich die menschlichen Tester auf die nuancierten Schwachstellen konzentrieren, die die KI nicht erkennen kann: subtile Autorisierungsfehler, Logikfehler und kreative Exploit-Techniken. Patrick glaubt nicht, dass KI die Penetrationstester ersetzen wird, aber er geht davon aus, dass sie ein immer wichtigerer Bestandteil ihres Instrumentariums werden wird.

Wie setzen Bedrohungsakteure KI ein und was bedeutet das für Verteidiger?

Eine von Patricks auffälligsten Beobachtungen ist, dass Angreifer KI schneller einsetzen als viele Verteidiger. Einige erstellen ihre eigenen Sprachmodelle speziell für bösartige Zwecke. Diese Modelle werden auf Angreifer-Datensätzen trainiert, haben keine ethischen Leitplanken und sind so konzipiert, dass sie Websites ohne Einschränkungen untersuchen können.

"Die Angreifer erstellen ihre eigenen LLMs", erklärt Patrick. "Sie entfernen die Leitplanken und trainieren sie mit Angreiferdaten."

Diese Tools ermöglichen es selbst Angreifern mit geringen Kenntnissen, in großem Maßstab zu operieren. KI kann Tausende von Zielen auf einmal bewerten und die einfachsten Gelegenheiten identifizieren. Dies verändert die Geschwindigkeit, mit der Schwachstellen gefunden werden, grundlegend. Für Verteidiger bedeutet dies, dass sicheres Design, Überwachung und rechtzeitige Abhilfemaßnahmen wichtiger denn je sind.

Treten Schwachstellen im Zusammenhang mit KI bereits in realen Anwendungen auf?

Patrick sagt, dass es nicht immer offensichtlich ist, ob eine Schwachstelle von der KI oder von einem Entwickler geschaffen wurde, da unsichere Logik unabhängig von der Quelle oft ähnlich aussieht. Er hat jedoch ein Muster festgestellt: Anwendungen, die KI in ihre Funktionen oder Arbeitsabläufe integrieren, weisen tendenziell mehr Schwachstellen in den KI-gesteuerten Teilen der Codebasis auf als in den traditionell geschriebenen.

"Es könnte schwer zu sagen sein, ob etwas von der KI stammt oder nicht", sagt er, "aber ich sehe eine höhere Wahrscheinlichkeit, Schwachstellen zu finden, wenn ein Produkt KI für einen Teil seiner Funktionalität nutzt."

Er erklärt, dass, wenn eine Anwendung einen Endpunkt oder eine Funktion enthält, die einen KI-Dienst aufruft, dieser Bereich oft weniger ausgereifte Logik und weniger Validierung enthält als der Rest des Systems. Die Entwickler gehen möglicherweise davon aus, dass die von der KI erzeugte Ausgabe sicher ist, oder sie entwerfen die Integration, ohne die Sicherheitsimplikationen der Weitergabe von benutzergesteuerten Daten an ein KI-Modell vollständig zu verstehen. Diese Bereiche werden zu Hotspots für Tests.

"Ich erwarte, dass ich in dem Teil, der die KI aufruft, mehr Schwachstellen finden werde", sagt er, "als in dem Code, der auf herkömmliche Weise geschrieben wurde."

Für Patrick unterstreicht dieser Trend die Notwendigkeit eines sorgfältigen Designs und einer sorgfältigen Überprüfung bei der Integration von KI-Funktionen. Selbst wenn KI nur eine Komponente des Arbeitsablaufs ist, kann sie ein unverhältnismäßiges Risiko darstellen, wenn sie nicht mit der gleichen Strenge behandelt wird wie der Rest der Anwendung. Diese Herausforderung unterscheidet sich von abhängigkeitsbezogenen Risiken, die entstehen, wenn KI externe Bibliotheken auswählt. In diesen Fällen geht es nicht um die Logik, die KI generiert, sondern um die Quellen, auf die sie sich stützt.

Führen KI-generierte Code-Vorschläge zu neuen Abhängigkeitsrisiken?

Webanwendungen sind bereits in hohem Maße von Bibliotheken von Drittanbietern abhängig, und der von der KI generierte Code folgt diesem Muster. KI kann jedoch Bibliotheken auf der Grundlage der Häufigkeit in ihren Trainingsdaten auswählen und nicht auf der Grundlage von Sicherheit, Wartungshistorie oder Reputation. Dies reduziert die bewusste Bewertung, die Entwickler traditionell bei der Auswahl von Abhängigkeiten vornehmen.

Patrick hat auch beobachtet, dass Angreifer KI-Modelle manipulieren können, indem sie das Internet mit Inhalten überschwemmen, die bösartige Bibliotheken bewerben. Wenn genügend Blogbeiträge, Beispielprojekte oder Repositories auf ein vom Angreifer kontrolliertes Paket verweisen, kann ein KI-Modell beginnen, es zu empfehlen. "Die KI wird denken, dass dies die Bibliothek ist, die sie verwenden sollte", sagt er, "weil sie diese am häufigsten gesehen hat."

Daher behandelt er KI-Vorschläge als Hinweise und nicht als Entscheidungen und überprüft jede Empfehlung manuell.

Wird KI die Arten von Sicherheitslücken in Webanwendungen verändern?

Patrick glaubt, dass einige Schwachstellen zurückgehen werden, während andere neu entstehen. SQL-Injection zum Beispiel könnte seltener werden, weil KI dazu neigt, sicheren Mustern zu folgen, die gut dokumentiert sind. Entwickler vermeiden diese Muster manchmal, weil sie mehr Aufwand bedeuten, aber KI teilt diese Abneigung nicht.

Er rechnet jedoch damit, dass es mehr Schwachstellen geben wird, die durch den Missbrauch oder das Missverständnis von KI-generierten Komponenten verursacht werden. Viele Schwachstellen entstehen nicht durch Programmierfehler, sondern durch fehlerhafte Annahmen darüber, wie die Anwendung funktionieren sollte. Je mehr Entwickler sich auf KI verlassen, desto weniger sind sie mit den zugrundeliegenden Frameworks vertraut, was die Wahrscheinlichkeit von subtilen Logik- und Autorisierungsproblemen erhöht.

Welche Rolle könnte KI in zukünftigen CI/CD-Pipelines spielen?

Patrick sieht eine nützliche Rolle der KI bei der Diagnose von Fehlern in der Build-Pipeline. Heute geben Entwickler ihren Code ein und gehen schnell zur nächsten Aufgabe über, nur um dann zurückgezogen zu werden, wenn die Pipeline versagt. KI kann helfen festzustellen, ob ein Fehler auf ein kurzes Netzwerkproblem, eine Fehlkonfiguration oder ein kleines Versehen zurückzuführen ist, und dann eine Lösung vorschlagen. Diese Art der Unterstützung kann Unterbrechungen reduzieren und die Entwicklung reibungslos ablaufen lassen.

Er erklärt, dass Entwickler oft "in der Zone" bleiben wollen, und alles, was diesen Fluss unterbricht, ist frustrierend. KI könnte einen Teil dieses Betriebsgeräusches auffangen. "Es wäre sicher schön, wenn die KI sich das Problem ansehen und sagen könnte: 'Das war ein Netzwerkproblem, ich starte es einfach neu' oder 'Der Code ist fehlerhaft und hier ist das Problem'", sagt er.

Patrick warnt jedoch, dass KI die menschliche Überprüfung nicht umgehen sollte. Automatisierte Korrekturen müssen immer noch vom Team genehmigt werden, insbesondere wenn eine Änderung die Anwendungslogik oder die Architektur betrifft. Für ihn ist KI als Diagnosehilfe wertvoll, aber die Verantwortung liegt weiterhin bei den Entwicklern.

Wie könnte KI die Zukunft der Entwicklung von Webanwendungen verändern?

Patrick geht davon aus, dass KI die Entwicklung sowohl in positiver als auch in herausfordernder Weise beeinflussen wird. Sie wird Teile des Prozesses beschleunigen, insbesondere Routinekomponenten, und die Fehlersuche optimieren. Gleichzeitig erwartet er, dass der Druck auf die Teams zunehmen wird, KI aggressiver einzusetzen, was möglicherweise auf Kosten eines sicheren Designs geht.

Er sieht auch voraus, dass sich die Entwickler immer weiter von den zugrunde liegenden Systemen entfernen, die ihre Anwendungen betreiben. "Wir werden immer weniger verstehen, wie Anwendungen funktionieren", sagt er. "Und das ist gefährlich, wenn etwas kaputt geht.

Angreifer könnten unterdessen lernen, Muster zu erkennen, die Aufschluss darüber geben, welches KI-Modell bestimmte Teile einer Anwendung generiert hat, so dass sie deren Schwachstellen vorhersagen können. Diese Dynamik erfordert von den Verteidigern Wachsamkeit, Nachdenklichkeit und Engagement während des gesamten Entwicklungslebenszyklus.

Sichere, KI-gestützte Anwendungen entwickeln

KI verändert die Webentwicklung, aber sie kann solide technische Prinzipien nicht ersetzen. Für Patrick sollte KI eher als leistungsstarker Assistent denn als Ersatz für ein sicheres Design betrachtet werden. Sie kann alltägliche Arbeiten beschleunigen, frühzeitige Tests unterstützen und einfache Probleme diagnostizieren, aber sie kann nicht den Kontext verstehen, über das hinausgehen, was sie gesehen hat, oder allein eine sichere Architektur gewährleisten.

Bureau Veritas Cybersecurity hilft Organisationen, sich in dieser sich entwickelnden Landschaft zurechtzufinden, indem es KI-integrierte Systeme bewertet, Anwendungen testet und sichere Entwicklungspraktiken stärkt. Mit der richtigen Balance aus menschlicher Aufsicht und KI-gesteuerter Effizienz können Teams Anwendungen entwickeln, die sowohl innovativ als auch sicher sind.