KI-Assistenten wie GitHub Copilot schreiben immer mehr produktiven Code – doch wer prüft, ob dieser Code auch sicher ist? Das Unternehmen Chainguard hat sich genau dieser Frage verschrieben und liefert Antworten, die für jedes Entwicklungsteam relevant sind.
Chainguard adressiert Sicherheitslücken in KI-generiertem Code
KI-Assistenten wie GitHub Copilot oder ChatGPT beschleunigen die Softwareentwicklung erheblich – doch der von ihnen generierte Code bringt neue Sicherheitsrisiken mit sich. Das auf Supply-Chain-Sicherheit spezialisierte Unternehmen Chainguard hat sich auf dieses Problem fokussiert und bietet Lösungsansätze, die den Einsatz von KI-generiertem Code in produktiven Umgebungen sicherer machen sollen.
Das Problem: KI-Code ist nicht automatisch sicherer Code
Large Language Models werden auf riesigen Mengen öffentlich verfügbaren Codes trainiert – inklusive veralteter Bibliotheken, bekannter Schwachstellen und überholter Programmierpraktiken. Das Ergebnis: Entwickler, die KI-Vorschläge ungeprüft übernehmen, können unwissentlich Sicherheitslücken in ihre Codebasis einschleusen.
Hinzu kommt das Phänomen des sogenannten „Halluzinierens”: KI-Modelle erfinden gelegentlich Paketnamen oder Abhängigkeiten, die schlicht nicht existieren. Angreifer können solche Phantomnamen vorsorglich registrieren und mit Schadsoftware befüllen – ein Angriffsmuster, das als Dependency Confusion bekannt ist.
Sicherheitsforscher haben nachgewiesen, dass KI-generierter Code überdurchschnittlich häufig unsichere Muster enthält – etwa unzureichende Eingabevalidierung, fehlerhafte Kryptoimplementierungen oder das Einbinden von Abhängigkeiten ohne Versionsverankerung.
Chainguards Ansatz: Vertrauenskette von Grund auf
Chainguard setzt auf das Konzept der Software Supply Chain Security und stellt sicher verifizierte, minimal gehaltene Container-Images bereit, die als Basis für Softwareprojekte dienen. Der Grundgedanke dabei ist klar:
Vertrauen in Code kann nicht nachträglich hinzugefügt werden – es muss von Beginn an in den Entwicklungsprozess integriert sein.
Konkret bietet das Unternehmen sogenannte Chainguard Images an: schlanke, kontinuierlich aktualisierte Container-Basisimages, die auf ein Minimum an installierten Paketen reduziert sind. Weniger installierte Software bedeutet weniger potenzielle Angriffsfläche. Diese Images werden mit kryptografischen Signaturen nach dem Sigstore-Standard versehen, sodass Entwickler und Sicherheitsteams die Herkunft und Integrität jeder Komponente lückenlos nachvollziehen können.
Automatisierung trifft auf Governance
Ein zentraler Punkt in Chainguards Strategie ist die Automatisierung von Sicherheitsprüfungen im CI/CD-Prozess. Statt manueller Code-Reviews sollen automatisierte Pipelines sicherstellen, dass weder KI-generierter noch menschlich geschriebener Code mit bekannten Schwachstellen in Produktionssysteme gelangt.
Die Integration in gängige Entwicklungsumgebungen soll die Hürde für Sicherheits-Compliance senken, ohne den Entwicklungsfluss zu bremsen. Das Unternehmen positioniert sich damit in einem wachsenden Marktsegment:
Analysten gehen davon aus, dass bis 2028 ein erheblicher Anteil des produktiven Codes KI-unterstützt entstehen wird – der Bedarf an strukturierten Sicherheitsverfahren wächst entsprechend.
Einordnung für deutsche Unternehmen
Für Unternehmen im deutschsprachigen Raum, die KI-gestützte Entwicklungswerkzeuge einsetzen oder deren Einführung planen, ergibt sich eine klare Handlungsempfehlung. Folgende Maßnahmen sollten fester Bestandteil moderner Entwicklungsprozesse sein:
- Automatisierte Sicherheitsscans in der CI/CD-Pipeline
- Software Bills of Materials (SBOMs) als Transparenzgrundlage
- Klare Richtlinien für den Umgang mit KI-generierten Code-Vorschlägen
Zusätzlichen Druck erzeugt der Cyber Resilience Act der EU: Unternehmen, die heute in robuste Supply-Chain-Sicherheit investieren, reduzieren ihr Compliance-Risiko für die kommenden Jahre erheblich.
Quelle: ZDNet AI – How Chainguard is fixing trust in AI-built software
