Application Security im KI-Zeitalter: Finden reicht nicht mehr
KI beschleunigt die Softwareentwicklung und stellt Unternehmen zugleich vor neue Herausforderungen bei der Anwendungssicherheit. Patrick Siffert von Checkmarx erläutert, warum das wachsende Codevolumen die Erkennung und Behebung von Schwachstellen erschwert. Deterministische Scanner liefern konsistente Ergebnisse, während KI-gestützte Analysen auch neue oder komplexe Risiken aufdecken können. Siffert plädiert dafür, beide Ansätze zu verbinden und Sicherheitsrisiken nach Kontext und Relevanz zu priorisieren. Dafür sollte Application Security früh in Entwicklungsprozesse eingebunden werden.
Der Einsatz von KI und LLMs beschleunigt die Anwendungsentwicklung immer mehr – und hat die Rolle der Entwickler inzwischen ganz neu definiert: Statt Code ausschließlich selbst zu schreiben, bearbeiten und überprüfen sie zunehmend KI-generierten Output. Inzwischen werden 49 Prozent des produktiv eingesetzten Codes von KI erzeugt. Die Vorteile liegen auf der Hand: So stellte Microsoft Research fest, dass Entwickler mit GitHub Copilot eine identische Aufgabe 55,8 Prozent schneller erledigten als Entwickler ohne den KI-Assistenten. Doch dieser Produktivitätsschub hat auch seinen Preis: Je mehr Code in immer kürzeren Entwicklungszyklen entsteht, desto mehr potenzielle Sicherheitsprobleme finden den Weg in die Software-Pipelines.
Damit verändern sich auch die Anforderungen im Bereich Application Security grundlegend: Da Software mithilfe von KI schneller entwickelt wird als je zuvor, fällt es vielen Unternehmen schwer, die für eine nachhaltige Qualitätssicherung erforderlichen Validierungs- und Kontrollmechanismen konsequent umzusetzen.
Transparenz allein reicht dafür nicht mehr aus. Im Zeitalter der KI-gestützten Softwareentwicklung müssen Unternehmen in der Lage sein, aus den verfügbaren Informationen konkrete Handlungsempfehlungen abzuleiten: Sie müssen Risiken im jeweiligen Kontext bewerten, ihre Ressourcen gezielt einsetzen und die Behebung von Schwachstellen nach ihrer tatsächlichen Relevanz priorisieren.
Mehr Code – aber auch mehr Schwachstellen und mehr Rauschen
Sicherheitsrisiken im Code-Bestand zu priorisieren, war schon lange vor dem Siegeszug der KI-gestützten Anwendungsentwicklung eine Herausforderung. Ein Grund dafür ist die Vielzahl verwendeter Programmiersprachen: Heute sind mehr als 50 davon aktiv im Einsatz.
KI verschärft diese Problematik: Auf Prompts und Anfragen reagiert sie, indem sie Code in der Programmiersprache generiert, die sie für die jeweilige Aufgabe als am besten geeignet erachtet. Die Folge ist eine gefährliche Gemengelage: Immer mehr Code, der in immer kürzerer Zeit entsteht, trifft auf eine immer größere Bandbreite an Programmiersprachen. Anwendungen werden dabei oft schneller entwickelt, als ihr Code umfassend geprüft und verstanden werden kann. Das erhöht das Risiko, dass Programmierfehler und Sicherheitslücken unentdeckt bleiben.
Die Produktivitätsgewinne durch KI-generierten Code gehen dabei mit erheblichen Sicherheitsrisiken einher. Laut der Checkmarx-Studie „2026 Future of Application Security“ bringen Unternehmen, die 81 bis 100 Prozent ihres Codes mithilfe von KI erstellen, bekannte Schwachstellen 3,4-mal häufiger in produktive Umgebungen als Unternehmen, die KI lediglich für 1 bis 20 Prozent ihrer Code-Erstellung einsetzen.
Damit nicht genug: Auch Cyberkriminelle machen sich KI längst zunutze, um Schwachstellen schneller aufzuspüren und auszunutzen. Wie schnell das inzwischen gehen kann, demonstrierte Anthropic im Juni 2026: Das Large Language Model Claude Mythos Preview war in der Lage, aus bereits veröffentlichten Software-Patches innerhalb einer Stunde funktionsfähige Exploits zur Code-Ausführung zu entwickeln – und verkürzte damit die für die Entwicklung solcher Exploits benötigte Zeit erheblich.
Theoretische Schwachstellen von realen Bedrohungen unterscheiden
Damit steht die Application Security heute an einem Wendepunkt: Jahrelang lag der Fokus darauf, möglichst zuverlässig möglichst viele Schwachstellen aufzuspüren. Doch mit KI-gestützter Entwicklung steigt nicht nur die Menge an produziertem Code, sondern auch die Zahl der darin enthaltenen Schwachstellen deutlich. Für Security-Teams wird es also zunehmend schwieriger, alle identifizierten Probleme zeitnah zu untersuchen und zu beheben. Wenn immer mehr Alerts im ohnehin überfüllten SOC-Backlog landen, führt das zwangsläufig zu einer Überlastung – gerade dann, wenn den Security-Teams die Ressourcen oder der Kontext fehlen, um die größten Risiken zu erkennen. Der Fokus muss sich daher von der lückenlosen Visibilität zur gezielten Priorisierung verschieben.
Theoretisch mögliche Schwachstellen von tatsächlich relevanten Risiken zu unterscheiden, ist damit eine Kernkompetenz moderner AppSec. Dabei gilt es allerdings, die Stärken und Schwächen der verfügbaren Ansätze im Blick zu behalten.
Die Basis für die Code-Analyse bilden nach wie vor deterministische Scanner. Sie greifen auf bekannte Regeln, Signaturen und Muster zurück, um potenzielle Bedrohungen zu identifizieren. Ihre große Stärke liegt in der Konsistenz und Reproduzierbarkeit – deshalb genießen sie bei Auditoren und Compliance-Teams hohes Vertrauen. Analysiert ein solcher Scanner denselben Code zweimal, liefert er auch zweimal dasselbe Ergebnis. Allerdings liefern die auf diese Weise identifizierten Schwachstellen nur einen Teil des Gesamtbilds. Wesentlich schwieriger ist es oft, Risiken zu identifizieren, für die noch keine bekannte CVE oder ein etabliertes Angriffsmuster existiert.
Hier können KI-basierte Scanner helfen: Zeitgemäße Frontier-Modelle sind in der Lage, gezielt nach Zero-Day-Schwachstellen und bislang unbekannten Mustern zu suchen, für die noch keine CVE oder Signatur existiert. Dabei analysieren und interpretieren sie Code ähnlich wie ein menschlicher Reviewer und erhöhen so die Chance, bislang unbekannte Risiken und Bedrohungen zu erkennen. Allerdings sind die Ergebnisse beim Einsatz von KI nicht immer konsistent.
Beide Ansätze haben also ihre Grenzen: Deterministische Scanner tun sich schwer, neuartige Schwachstellen zu erkennen, während die Ergebnisse von KI-Modellen weniger einheitlich und mitunter weniger verlässlich sind.
Das Zusammenspiel der Modelle ist entscheidend
Um diese Lücke zu schließen und Schwachstellen im Code effektiv zu identifizieren und zu priorisieren, brauchen AppSec-Teams einen hybriden Ansatz, der KI-gestützte Analysen mit Kontextinformationen und konsequenter Validierung verbindet. Denn die Erkennung von Schwachstellen bleibt zwar unverzichtbar, ist aber nur der erste Schritt. Künftig wird es in der AppSec vor allem darauf ankommen, die relevanten Schwachstellen zu identifizieren und deren Behebung dort zu priorisieren, wo die größten Risiken bestehen.
Das beginnt idealerweise bereits bei der Code-Erstellung – etwa direkt in der IDE oder mithilfe von KI-Agenten. Entwickler können so Probleme proaktiv in der Frühphase der Entwicklung beheben und Schwachstellen verhindern, bevor diese überhaupt entstehen. Auf diese Weise vermeiden Unternehmen auch, dass sich über die Zeit immer mehr „Vulnerability Debt“ anhäuft.
Entscheidend ist dabei, die verschiedenen Scan-Technologien richtig aufzusetzen. Die robuste Grundlage bildet ein deterministisches Modell, das auf umfangreichem Security Research aus vielen Jahren basiert – denn nur dann kann es die erforderliche Vielzahl von Programmiersprachen und Angriffsmustern konsistent und präzise prüfen. Anschließend gilt es, dieses breite Security-Wissen mit den Stärken moderner Frontier-Modelle zu kombinieren. So entsteht eine leistungsfähige AppSec-Engine, die eine umfassende Erkennung von Schwachstellen ermöglicht und die Ergebnisse in einer zentralen, priorisierten und verlässlichen Bewertung zusammenführt, an der Security-Teams ihre Maßnahmen ausrichten können.
Das Zusammenspiel dieser beiden Bausteine ermöglicht es Entwicklern und Security-Teams, Schwachstellen zuverlässig zu identifizieren und nach ihrer Relevanz zu priorisieren. Entscheidend ist dabei die richtige Balance: Die Ergebnisse müssen präzise genug sein, um das Hintergrundrauschen durch False Positives zu minimieren, gleichzeitig aber breit genug angelegt sein, um auch komplexe oder neuartige Schwachstellen aufzudecken, die rein statische Regeln übersehen würden.
Direkter Link zu Checkmarx: Agentic Application Security Testing Software Platform | Checkmarx
