Qvestcon News

KI-generierter Code: Prüfung im Editor und Pipeline

KI-Assistenten erzeugen mehr Code, als klassische Reviews prüfen können. Laut einem Sicher­heits­be­richt führen 45 Prozent des Codes von mehr als 100 Sprach­mo­del­len Schwach­stel­len aus den OWASP Top 10 ein. Dazu kommt ein Lie­fer­ket­ten­ri­siko: Modelle schlagen Abhän­gig­kei­ten vor, die es nicht gibt. Die Cloud Security Alliance beziffert die Hal­lu­zi­na­ti­ons­rate bei Open-Source-Modellen auf rund 21,7 Prozent, bei kommerziellen Modellen auf 5,2 Prozent der vor­ge­schla­ge­nen Pakete. Angreifer registrieren solche Namen und hinterlegen Schadcode (Slopsquatting). Die Kontrolle setzt an zwei Stellen an. Im Editor prüfen Werkzeuge Prompt und Ausgabe auf Schwach­stel­len, eingebettete Zugangsdaten und Fehl­kon­fi­gu­ra­tio­nen, bevor committet wird. In der CI/CD-Pipeline stoppen zentrale Regeln Builds mit kritischen Funden. Praktische Maßnahmen: Abhän­gig­kei­ten auf geprüfte Versionen festlegen, neu vor­ge­schla­gene Pakete gegen die Registry abgleichen und jede Abhängigkeit vor dem Artefakt scannen. Regeldateien mit Sicher­heits­vor­ga­ben geben Assistenten Standards wie para­me­tri­sierte Daten­bank­zu­griffe mit. Für Banken und Versicherer, die KI-Assistenten in der Soft­ware­ent­wick­lung zulassen, ist das ein Prüfpunkt im Ent­wick­lungs­pro­zess.