Leo dachte, er hätte eine erstaunliche Abkürzung zur Softwareentwicklung gefunden.
Anfang dieses Jahres startete Leonel Acevedo, Gründer eines Marketingsoftware-Startups der Lead-Generation und eines Rookie-Coders, eine SaaS-Anwendung (Software-as-a-Service), die vollständig mit KI geschrieben wurde. Er hat den Code nie selbst direkt berührt. Stattdessen verließ er sich darauf, Aufforderungen oder Anweisungen in ein KI-Tool zu stecken und das System die Arbeit ausführen zu lassen. Dann erzählte er stolz der Welt in einem Beitrag auf X von seiner Leistung.
Großer Fehler.
Zwei Tage später wurde seine Kreation angegriffen. Die Hacker haben ihre API-Schlüssel (Application Programming Interface) maximiert und im Wesentlichen das System übersteuert, das steuert, wie Apps miteinander kommunizieren. Sie haben seine Abonnementsysteme umgangen, die jeden blockieren sollen, der kein zahlender Benutzer ist. Dann begannen sie, zufällige Einträge in seiner Datenbank zu erstellen, die zeigten, dass sie mit den Daten tüfteln konnten, wie sie es wollten.
„Die Hälfte des Internets versucht, meine App zu brechen, nur um öffentlich einen Fehler zu teilen, den ich gemacht habe“, schrieb Acevedo, der die App schnell herunterschaltete. „Wissen Sie, was das Schlimmste ist? Sie machen es zum Spaß.“
Die Implosion war schnell und aufschlussreich.
Vibe Codierung, die Praxis der Verwendung von KI-Modellen zur Erstellung vollständiger Anwendungen aus natürlichen Spracheingaben, ist zu einer Mainstream-Methode zum Erstellen von Software geworden. „Der Maßstab für die Programmierung ist jetzt niedriger als je zuvor“, sagte Google Brain-Gründer Andrew Ng in einem Vortrag auf der Snowflake’s Build Conference am Montag. Aber die schnellen Entwicklungszeiten und niedrigen Kosten, die Vibe-Codierung so verführerisch machen, schaffen auch Risiken, indem sie ungeprüften, automatisch generierten Code in Pipelines mit wenig oder keiner IT-Sicherheitsüberprüfung verschieben. Infolgedessen sind mehr Einzelpersonen und Organisationen dazu bestimmt, Software zu verwenden, die Rekordzahlen von Fehlern enthält, die Operationen und Schwachstellen verhindern könnten, die Hacker leicht erkennen und ausnutzen können.
„Wenn Sie ein guter Programmierer sind, können Sie viel Hilfe von KI erhalten, weil Sie wissen, wonach Sie suchen und wie Sie ihn anregen können“, sagte Erlend Oftedal, Senior Technical Director bei RSA Conference (RSAC) Research über AppSec. „Aber wenn Sie ein schlechter Coder sind, wird es die Dinge nur verschlimmern, weil Sie nicht verstehen, wie Sie überprüfen können, was Sie entwickeln. Sie verdrängen gerade Sachen.“
Vibe-Codierung: die gute Vibes, die schlechten und all das Risikokapital
Während der Begriff Vibe-Codierung neu ist, kürzlich vom KI-Forscher Andrej Karpathy geprägt wurde und erst letzte Woche das Wort des Jahres benannt wurde, ist die Praxis, KI zur Anleitung der Codeerstellung zu verwenden, nicht.
„Der Balken für die Codierung ist jetzt niedriger als je zuvor.“Andrew Ng, Gründer von Google Brain
Tatsächlich geht sie auf das Anfangsjahr 2010s zurück, als Forscher begannen, neuronale Netzwerke des maschinellen Lernens zu verwenden – Software, die lose darüber modelliert wurde, wie das Gehirn lernt – für die Code-Vervollständigung und die Programmsynthese. Das hat den Weg für Tools wie DeepCoder im Jahr 2016 und Googles frühe Sequenz-Sequenz-Modelle geebnet, und bis Anfang 2020s brachten Systeme wie OpenAI Codex und GitHub Copilot KI-unterstützte Codierung in den Mainstream.
Jetzt kommt das Neueste in diesem langen Push, mit generativen Tools wie ChatGPT, GitHub Copilot, Anthropics Claude und Cursor (was Acevedo verwendet hat), wodurch die Codierung noch schneller und einfacher und attraktiver für Unternehmen wird. Letztes Jahr bestätigten mehr als 90 % der Entwickler in mittleren und großen Unternehmen laut einer Umfrage von Checkmarx/Censuswide die Verwendung von KI zur Generierung von Code. Und 30 % bis 40 % der Organisationen fördern laut einer 2024 GitHub- Umfrage jetzt aktiv Vibe-Codierung, vermutlich um Kosten zu senken und Softwareentwicklungslebenszyklen (SDLs) zu beschleunigen.
[Lesen Sie auch: Was ist Vibe-Codierung? Die Vor-, Nachteile und Kontroversen]
Um fair zu sein, haben Softwareunternehmen immer Code versendet, bevor er bereit ist, Konkurrenten zu schlagen, um sie auf den Markt zu bringen. Neue Betriebssysteme und Anwendungen enthalten bekanntermaßen zahlreiche Betriebs- und Sicherheitsfehler, die es Unternehmen Monate dauern können, sie zu patchen und zu korrigieren. Die riskante Praxis des langsamen Patchens ist endemisch geworden. Aber was Sicherheitsexperten jetzt beunruhigen kann, ist, dass KI-unterstützte Codierung Schwachstellen in einem solchen Umfang verursachen kann, dass viele nie identifiziert oder behoben werden.
Tatsächlich passiert es bereits. In einer kürzlich durchgeführten Veracode- Studie testeten 45 % von mehr als 100 KI-generierten Codeproben fehlgeschlagene Sicherheitstests und führten kritische Sicherheitsrisiken für Webanwendungen ein.
Solche Bedenken hindern Anbieter und Investoren nicht daran, auf den Vibe-Codierungs-Bandwagon zu springen. Tatsächlich haben Start-ups von Vibe-Codierungstools in letzter Zeit erhebliche Risikokapitalfinanzierungen erhalten, darunter der Cursor-Hersteller Anysphere, der 900 Millionen US-Dollar gesammelt hat; Replit, der 250 Millionen US-Dollar gesichert hat; und Lovable, der 200 Millionen US-Dollar gesammelt hat.
Während sie nicht rein sicherheitsorientiert sind, umfassen viele dieser Tools Funktionen wie Sicherheitsscans, die Code auf ausnutzbare Fehler überprüfen, und automatischen API-Schlüsselschutz, der exponierte Anmeldedaten erkennt und blockiert, bevor sie missbraucht werden können. Sie neigen jedoch dazu, Probleme zu erkennen, anstatt zu validieren, ob die zugrunde liegenden Schutzmaßnahmen tatsächlich funktionieren.
Die größten Risikoträger von Vibe Codierung
Der Anstieg neuer Tools prägt auch, wer mit Vibe-Codierung die größten Risiken eingeht. Pieter Danhieux, Mitbegründer und CEO von Secure Code Warrior, sagte, dass Start-ups dazu neigen, es aggressiver anzunehmen, während Unternehmen sich an unterstützte Codierung halten, während ein Mensch die Ausgabe noch überprüft.
„Die Codierung einer Anwendung, die sensible Daten enthält, ohne dass die Fähigkeiten zur Sicherung vorhanden sind, ist ein Rezept für eine Katastrophe.“Pieter Danhieux, Mitbegründer und CEO, Secure Code Warrior
„Ich denke, Vibe-Codierung wird weit verbreitet in kleineren Start-ups eingesetzt, in denen es einen brillanten technischen Gründer gibt, der sich schnell bewegen möchte, und sie beginnen im Grunde damit, Anwendungen zu erstellen und bereitzustellen, ohne sie tatsächlich zu betrachten“, sagte Danhieux.
Größere Unternehmen seien vorsichtiger, erklärte er. Ihre Entwickler können KI verwenden, um kleine, wiederverwendbare Codestücke zu erstellen, aber sie überprüfen die Ergebnisse noch vor der Bereitstellung.
Während Danhieux scheinbar sicherer war, warnte Danhieux davor, dass diese Überprüfungen nichts anderes als ein falsches Sicherheitsgefühl bieten könnten.
Secure Code Warrior- Forschung ergab, dass 86 % der Entwickler keine sichere Codierung priorisieren, und mehrere beliebte LLM-Tools haben Schwierigkeiten , Herausforderungen bei der sicheren Codierung zu lösen, insbesondere solche in subjektiveren Kategorien wie Authentifizierung und Sicherheitsfehlkonfiguration, sagte Danhieux.
Schwachstellen und sensible Daten von Vibe Codierung
Sprach- und Schwachstellentypen machen einen Unterschied, bemerkte Danhieux. Modelle neigen dazu, einfache Fehler zu erkennen, wie Rechtschreibfehler im Code oder offensichtliche Probleme, die einem klaren Muster folgen. Aber sie haben Probleme mit tieferen Problemen, die das Design eines Systems betreffen, einschließlich der Frage, ob eine App ordnungsgemäß überprüft, wer was tun darf. Das schafft einen toten Winkel, da KI-generierter Code auf der Oberfläche sauber aussehen kann, aber dennoch Schwachstellen enthält, die Benutzer gefährden.
„Das ist die Gefahr. Sie erhalten Code, der überzeugend aussieht, in Produktion läuft und noch nie einer ordnungsgemäßen Überprüfung unterzogen wurde. Die Bugs verstecken sich in Sichtweite.“Erlend Oftedal, Senior Technical Director, RSA Conference (RSAC) Research
Die gleiche Dynamik beginnt auch bei der externen Anwendungsentwicklung in Missbrauchsmustern wie VibeScamming, wo natürlichsprachige KI-Tools bewusst verwendet werden, um Phishing-Seiten und Betrugsinfrastrukturen zu generieren und schnell zu iterieren, die legitim aussehen, aber traditionelle Vertrauenssignale umgehen.
Versierte Entwickler könnten solche versteckten Schwachstellen erkennen, aber Neulinge hätten wahrscheinlich nicht die erforderliche Erfahrung oder Intuition, sagte Danhieux. Er weist auf einen kürzlichen Fall hin, der das Risiko unterstreicht. Letztes Frühjahr hat ein umfassender Scan von 1 645 Projekten, die auf der Lovable-KI-Codierungsplattform erstellt wurden, 303 anfällige Endpunkte über 170 Anwendungen hinweg, die mit dem Tool erstellt wurden, oder etwa 10 % der analysierten Projekte, ergeben.
„Die Codierung einer Anwendung, die sensible Daten enthält, ohne die Fähigkeiten, sie zu sichern, ist ein Rezept für eine Katastrophe“, sagte er.
Die derzeit verfügbare Technologie erschwert nur die Angelegenheiten, da sie noch nicht der Aufgabe gewachsen ist, Sicherheitsprobleme zu erkennen, insbesondere wenn Code in großen Mengen generiert wird. KI-gestützte Tools können bald bei der Erkennung helfen, aber das wird immer noch nicht ausreichen, sagte Oftedal von RSAC.
„Die meisten Unternehmen denken, dass ihre Open-Source- Governance KI abdeckt – das ist nicht der Fall“, sagte er. „Das ist die Gefahr. Sie erhalten Code, der überzeugend aussieht, in Produktion läuft und noch nie einer ordnungsgemäßen Überprüfung unterzogen wurde. Die Bugs verstecken sich in Sicht.“
Oftedal bemerkte, dass Entwickler selbst helfen können, indem sie KI dazu auffordern, Code sicherer zu schreiben oder die Sicherheitsansätze anderer angesehener Entwickler nachzuahmen. Sie können auch KI anweisen, bestimmte Tools auszuführen, um ihre Arbeit zu überprüfen, bevor sie sie weiterverschieben, sagte er.
Vibe Check: Die Schritte, die CEOs und Sicherheitsleiter jetzt unternehmen müssen
Für Experten wie Danhieux und Oftedal beginnt der Weg nach vorne mit der Gewährleistung von Transparenz und Übersicht.
„Eine funktionale Initiative „Secure by Design“ ist das Gegenmittel zu außer Kontrolle geratenen technischen Schulden und kostspieligen späten Sicherheitsmaßnahmen.“Danhieux
Genau wie Unternehmensleiter die große Bandbreite an Computern, Tablets und anderen Endpunkten in ihrem Computernetzwerk mit Echtzeitdaten zu Betriebssystemen und Patch-Management -Anforderungen kennen müssen, müssen Chief Information Security Officer wissen, welche KI-Codierungsmodelle ihre Entwickler verwenden und Grenzen setzen, sagten sie. Günstigere, ältere Modelle könnten weniger sicheren Code produzieren, und ohne Versehen – eine Software-Materialliste (SBOM), um zunächst die Komponenten einer App und Abhängigkeiten von Drittanbietern aufzulisten – haben Organisationen oft keine Ahnung, was in ihren Umgebungen läuft.
„Vielleicht gehen wir zu einer Situation, in der es Leitplanken für Entwickler geben wird, die sagen, dass Sie Claude Version drei und höher verwenden können, und Sie ChatGPT-4 und höher verwenden können, aber nichts unten, da wir wissen, dass der Code, der daraus kommt, unsicher sein wird“, sagte Danhieux.
Schulungsentwickler sind die andere Hälfte der Gleichung. Sie müssen zeitnahes Engineering erlernen und lernen, wie sie Modelle zu sichereren Ausgängen führen, genauso wie Autoren lernen, eine bessere Prise von KI zu koaxieren. Bis unternehmensweite Tools Richtlinien in jeder integrierten Entwicklungsumgebung durchsetzen können, sind Bewusstsein und Schulungen die Stopplücken.
[Lesen Sie auch: Warum die besten KI-Richtlinien mit der Mitarbeiterschulung beginnen]
Aber für Danhieux ist das Leitprinzip designsicher, was bedeutet, dass Sicherheit von Anfang an in Software integriert wird.
„Eine funktionale Initiative „Sicher durch Design“, die von sicherheitsfähigen Entwicklern unterstützt wird, ist das Gegenmittel zu außer Kontrolle geratenen technischen Schulden und kostspieligen späten Sicherheitsmaßnahmen“, sagte er. „Bedrohungsakteure haben bereits einen Vorteil gegenüber Sicherheitsteams von Unternehmen, aber die Priorisierung der Sicherheit in der frühesten Phase des SDL kann dazu beitragen, das Pendel zu unseren Gunsten zurückzuschwenken.“
Die längerfristige Sorge, warnte Danhieux, ist, dass Vibe-Codierung die Softwareerstellung weiterhin aus den Entwicklungspipelines des Unternehmens in die Wohnzimmer verdrängen wird, was zu mehr Schwachstellen führt, die die Bedrohungslandschaft erweitern könnten. Professionelle Entwickler sind möglicherweise nicht perfekt, durchlaufen aber trotzdem die erforderlichen Prüfungen. Novice-Coder wachsen nicht, und wenn sich ihre Software ausbreitet, wächst die Angriffsfläche und das Vertrauen in das System schrumpft.
Danhieux argumentiert, dass die Behebung dieser Lücke entscheidend ist, bevor das Problem noch weiter skaliert.“Wenn wir dieses Sicherheitsproblem nicht lösen, denke ich, dass wir in ein paar Jahren schlechter dran sein werden“, sagte er.
Oftedal hat die Dringlichkeit widergespiegelt.
„Die Fehler sind bereits da draußen“, sagte er. „Wenn Sie dies jetzt nicht ansprechen, sind Sie bereits im Rückstand.“
