KI verändert, wer entscheidet, welche Software in Ihr Unternehmen kommt

KI ist Teil der täglichen Softwareentwicklung geworden. Von der Generierung von APIs und dem Schreiben von Tests bis hin zur Erstellung ganzer Anwendungen helfen KI-Assistenten Entwicklungsteams bei der Lösung von Problemen und der Auslieferung von Software schneller als je zuvor. Die Produktivitätsgewinne sind unbestreitbar, und Unternehmen nehmen KI rasch über den gesamten Softwareentwicklungslebenszyklus hinweg an.

Viel der Konversation hat sich auf den Code konzentriert, den KI generiert. Können Entwickler KI-generierten Code vertrauen? Führt er Sicherheitslücken ein? Wie sollten Sicherheitsteams ihn überprüfen? Diese Fragen sind wichtig, aber sie sind nicht die größte Veränderung, die KI in der Softwareentwicklung mit sich bringt. KI hat sich über die bloße Fähigkeit, Code zu generieren, hinaus entwickelt und beeinflusst zunehmend die ersten Softwareauswahlentscheidungen, die bestimmen, welche Software in ein Unternehmen kommt.

KI-Coding-Assistenten bauen selten Anwendungen von Grund auf, sondern komponieren Lösungen mithilfe bestehender Frameworks, Open-Source-Bibliotheken, SDKs, Container-Images und Paket-Ökosystemen. Jede Empfehlung formt die Software-Basis, auf der eine Anwendung aufbaut, oft bevor ein Entwickler die erste Zeile des generierten Codes überprüft.

Seit Jahrzehnten gehörte die erste Vertrauensentscheidung in der Softwareentwicklung fast ausschließlich den Entwicklern, aber diese Annahme beginnt sich zu ändern. Zunehmend macht KI die erste Empfehlung, während Entwickler das Ergebnis später überprüfen. Diese subtile Verschiebung hat erhebliche Auswirkungen auf die Sicherheit der Software-Lieferkette, da jede Empfehlung eine implizite Vertrauensentscheidung mit sich bringt.

Unternehmen haben Jahre damit verbracht, zu regeln, wie Software erstellt, getestet und bereitgestellt wird. Die nächste Herausforderung besteht darin, zu regeln, wie Software in einer KI-nativen Entwicklungsumgebung ausgewählt wird.

Die erste Vertrauensentscheidung

Jede Anwendung hängt von Software ab, die von Tausenden von Mitwirkenden in unzähligen Open-Source-Projekten erstellt wird. Bevor eine neue Abhängigkeit eingeführt wird, bewerten Entwickler in der Regel die Dokumentation, vergleichen Frameworks, überprüfen die Community-Adoption, prüfen die Release-Häufigkeit und berücksichtigen, ob ein Projekt für die Produktion reif ist. Entwickler haben nicht immer die richtige Wahl getroffen, aber jede Abhängigkeit wurde absichtlich eingeführt.

Heute kann ein Entwickler einfach einen KI-Assistenten auffordern, “eine sichere REST-API mit Authentifizierung und PostgreSQL-Unterstützung zu erstellen.” Innerhalb von Sekunden generiert KI ein funktionierendes Projekt. Auf dem Weg dorthin empfiehlt es eine Laufzeit, wählt ein Framework aus, bezieht sich auf ein Basis-Container-Image, importiert Authentifizierungsbibliotheken, wählt SDKs aus und generiert Abhängigkeitsmanifeste wie package.json, requirements.txt oder pom.xml. Paket-Manager lösen diese Abhängigkeiten und ihre transitiven Abhängigkeiten während des Build-Prozesses auf.

Die meisten Entwickler überprüfen die Anwendung, die KI produziert, aber nur wenige stoppen, um jede Software-Entscheidung zu überprüfen, die KI auf dem Weg dorthin trifft. KI hat die Software-Auswahl, die einst Stunden der Recherche erforderte, in Sekunden komprimiert und macht zunehmend die erste Empfehlung im Namen der Entwickler.

Jede Empfehlung ist eine Vertrauensentscheidung

Jedes Software-Artefakt trägt seine eigene Vertrauenskette. Eine Bibliothek hat Maintainer, Mitwirkende, Release-Prozesse, Signierpraktiken, Abhängigkeiten und Herkunft. Ein Container-Image erbt Software von Upstream-Verteilungen, und ein SDK führt zusätzliche Pakete ein, die diese Vertrauenskette erweitern.

Eine KI-Empfehlung kann schnell in hunderte von Software-Artefakten umgesetzt werden, die Teil einer Anwendung werden. Open Source hat immer auf diese Weise funktioniert. Was sich ändert, ist, wer diese Vertrauensentscheidungen zuerst trifft. Historisch haben Entwickler die Komponenten ausgewählt und vertraut, die sie ausgewählt haben. Zunehmend machen KI-Systeme die anfänglichen Empfehlungen, während Entwickler das Ergebnis später überprüfen.

Es klingt wie eine kleine Änderung, aber sie verändert grundlegend, wie Unternehmen über die Sicherheit der Software-Lieferkette nachdenken sollten.

KI optimiert für funktionierende Software, nicht für organisatorisches Vertrauen

Das bedeutet nicht, dass KI schlechte Empfehlungen macht. Ganz im Gegenteil.

KI-Coding-Assistenten sind gut darin, Software zu empfehlen, weil sie aus Millionen von Beispielen gelernt haben, wie Entwickler ähnliche Probleme lösen. Als Ergebnis erscheinen in ihren Vorschlägen natürlicherweise beliebte Frameworks, gut unterstützte Bibliotheken und vertraute Implementierungsmuster, und das ist genau das, was diese Tools so wertvoll macht.

Aber diese Optimierungsziele sind grundlegend anders als die Fragen, die Unternehmenssicherheitsteams beantwortet haben müssen. KI bewertet nicht inhärent, ob ein Paket mit den Software-Richtlinien eines Unternehmens übereinstimmt, ob ein Container-Image aus Quellcode neu erstellt wurde, ob die Software-Herkunft verifiziert wurde oder ob eine Abhängigkeit von einer genehmigten Software-Quelle stammt.

Funktionalität, Popularität und Wahrscheinlichkeit sind nützliche Signale für die Code-Generierung, aber sie sollten niemals als Ersatz für die Verifizierung verwendet werden.

Warum wir nach links integrieren müssen

Seit Jahren hat sich die Sicherheit der Software-Lieferkette auf die Identifizierung von Risiken konzentriert, nachdem Software in den Entwicklungsprozess eingeführt wurde. Schwachstellen-Scanner, Software Composition Analysis und SBOMs haben die Sichtbarkeit in die Software, die Anwendungen enthalten, dramatisch verbessert.

Diese Tools bleiben unerlässlich, aber sie behandeln einen anderen Teil des Problems.

KI verschiebt die Software-Auswahl viel früher in den Entwicklungslebenszyklus, sodass traditionelle Sicherheitskontrollen ihre Analyse beginnen, wenn das generierte Projekt möglicherweise bereits Dutzende von Abhängigkeiten referenziert, die einer Bewertung, Behebung oder Ersetzung bedürfen. Unternehmen reagieren immer noch auf Software-Entscheidungen, die bereits in den Entwicklungs-Workflow eingeführt wurden.

Das ist der Grund, warum ich glaube, dass Unternehmen nach links integrieren müssen.

Die Idee hinter der Integration nach links ist einfach: Vertrauen sollte hergestellt werden, bevor Software Teil einer Anwendung wird, nicht danach. Wenn KI zu einem aktiven Teilnehmer in der Softwareentwicklung wird, wird dieses Prinzip noch wichtiger. Die Governance muss zum Punkt verschoben werden, an dem Software ausgewählt wird, nicht wo sie schließlich gescannt wird.

Unternehmen müssen vertrauenswürdige Software-Quellen definieren, festlegen, welche Software-Artefakte KI empfehlen darf, und diese Artefakte überprüfen, bevor sie Teil des Entwicklungs-Workflows werden. Das Ziel ist es, sicherzustellen, dass KI die Software-Lieferung innerhalb von Schranken beschleunigt, die den Sicherheits-, Compliance- und Ingenieurnormen des Unternehmens entsprechen.

Regulierung der Software-Auswahl in der KI-Ära

Unternehmen definieren bereits, wo Software ausgeführt werden kann, wie sie bereitgestellt wird und wer autorisiert ist, sie freizugeben. Zunehmend werden sie auch definieren müssen, welche Software KI empfehlen darf.

Das ist der Punkt, an dem die Haltung der Software-Lieferkette immer wichtiger wird. Unternehmen benötigen Vertrauen nicht nur in die Software, die sie erstellen, sondern auch in die Software, die KI in ihrem Namen empfiehlt. Dieses Vertrauen kommt von der Verifizierung, vertrauenswürdigen Software-Quellen und der Governance, die vor der Einführung von Software in den Entwicklungsprozess beginnt.

KI wird die Softwareentwicklung weiter transformieren, und das ist richtig so. Die Produktivitätsgewinne sind zu groß, um ignoriert zu werden, aber wenn Unternehmen KI-nativen Entwicklungsumgebungen annehmen, müssen sie erkennen, dass die Software-Auswahl zunehmend automatisiert wird.

Die Unternehmen, die erfolgreich sind, werden diejenigen sein, die vertrauenswürdige Software-Quellen etablieren, die Software-Artefakte überprüfen, die KI empfiehlt, und die Governance in die Software-Auswahl von Anfang an integrieren.

KI verändert, wie Software geschrieben wird, aber jetzt, wichtiger noch, verändert sie, wie Software ausgewählt wird. Denn in der KI-Ära hängt die Software, der Sie vertrauen, zunehmend von der Software ab, die Ihre KI zuerst wählt.