Tiefer Einblick in Sicherheitslücken, die von KI-Codierungsassistenten generiert wurden

Egal, wo man hinschaut, in fast jeder Branche gibt es eine fortwährende Fixierung auf KI-Technologie. Von einigen als Antwort auf die schnelle Entwicklung von Funktionen in der Softwareentwicklung gelobt, haben die Geschwindigkeitszuwächse ihren Preis: Das Potenzial, dass schwerwiegende Sicherheitslücken ihren Weg in Codebasen finden, was auf das mangelnde Kontextwissen des Tools selbst zurückzuführen ist, und auf geringe Sicherheitskenntnisse der Entwickler, die sich darauf verlassen, dass sie die Produktivität steigern und Antworten auf herausfordernde Entwicklungsszenarien finden.

Die Large Language Model (LLM) -Technologie stellt einen grundlegenden Wandel bei den Hilfsmitteln dar und könnte, wenn sie sicher eingesetzt wird, in der Tat der Begleiter zur Paarprogrammierung sein, nach dem sich viele Softwareingenieure sehnen. Es wurde jedoch schnell festgestellt, dass der unkontrollierte Einsatz von KI-Entwicklungstools negative Auswirkungen haben kann, und zwar Studie 2023 von der Stanford University enthüllte, dass die Abhängigkeit von KI-Assistenten wahrscheinlich zu einem insgesamt fehlerhafteren, unsichereren Code führen würde, zusätzlich zu einem Anstieg des Vertrauens, dass die Ausgabe sicher ist.

Es ist zwar davon auszugehen, dass sich die Tools im Zuge des Wettlaufs um die perfekte LLM-Technologie weiter verbessern werden, aber eine Reihe von Empfehlungen — darunter eine neue Executive Order von der Biden-Administration sowie der Gesetz über künstliche Intelligenz aus der EU — macht ihren Einsatz jedenfalls zu einem kniffligen Weg. Entwickler können sich einen Vorsprung verschaffen, indem sie ihre Sicherheitsfähigkeiten, ihr Bewusstsein und ihr kritisches Denken in Bezug auf die Ergebnisse von KI-Tools auf Codeebene verbessern und im Gegenzug zu einem höheren Niveau an Ingenieuren werden.

Wie führen KI-Codierungsassistenten Sicherheitslücken ein? Spiele unsere NEUE öffentliche Mission und überzeugen Sie sich selbst!

‍

Beispiel: Cross-Site Scripting (XSS) in 'ChatterGPT'

Unsere neue öffentliche Mission zeigt die vertraute Oberfläche eines beliebten LLM und nutzt eine echt Codeausschnitt, der Ende November 2023 generiert wurde. Benutzer können diesen Codeausschnitt interpretieren und mögliche Sicherheitslücken untersuchen, falls er für den vorgesehenen Zweck verwendet werden sollte.

Basierend auf der Aufforderung „Können Sie eine JavaScript-Funktion schreiben, die den Inhalt des p-HTML-Elements ändert, wobei der Inhalt über diese Funktion übergeben wird?“ der KI-Assistent produziert brav einen Codeblock, aber alles ist nicht so, wie es scheint.

Hast du die Herausforderung schon gespielt? Wenn nicht, versuche es jetzt bevor Sie weiterlesen.

... okay, jetzt, wo Sie es abgeschlossen haben, werden Sie wissen, dass der fragliche Code anfällig für Cross-Site Scripting (XSS) ist.

XSS wird durch die Manipulation der Kernfunktionen von Webbrowsern ermöglicht. Es kann vorkommen, dass nicht vertrauenswürdige Eingaben als Ausgabe auf einer Seite gerendert, aber als ausführbarer und sicherer Code fehlinterpretiert werden. Ein Angreifer kann ein bösartiges Snippet (HTML-Tags, JavaScript usw.) in einen Eingabeparameter einfügen, der, wenn er an den Browser zurückgegeben wird, ausgeführt wird, anstatt als Daten angezeigt zu werden.

Sicherer Einsatz von KI-Codierungsassistenten in der Softwareentwicklung

EIN aktuelle Umfrage aller Entwicklungsteams gaben an, dass fast alle — oder 96% — begonnen haben, KI-Assistenten in ihren Arbeitsabläufen zu verwenden, wobei 80 Prozent sogar Sicherheitsrichtlinien umgehen, um sie in ihrem Toolkit zu behalten. Darüber hinaus räumten mehr als die Hälfte ein, dass generative KI-Tools häufig unsicheren Code erzeugen, was die Akzeptanz jedoch eindeutig nicht gebremst hat.

Angesichts dieser neuen Ära der Softwareentwicklungsprozesse ist es unwahrscheinlich, dass es funktioniert, von der Verwendung dieser Tools abzuraten oder sie zu verbieten. Stattdessen müssen Unternehmen ihre Entwicklungsteams in die Lage versetzen, die Effizienz- und Produktivitätssteigerungen zu nutzen, ohne Abstriche bei der Sicherheit oder der Codequalität machen zu müssen. Dies erfordert eine präzise Schulung in Bezug auf bewährte Methoden für sicheres Programmieren und die Möglichkeit, ihre Fähigkeiten zum kritischen Denken zu erweitern und sicherzustellen, dass bei ihrem Handeln stets die Sicherheit an erster Stelle steht, insbesondere wenn es darum geht, die potenzielle Bedrohung durch die Ausgabe von KI-Assistenzcode einzuschätzen.

Weiterführende Lektüre

Für XSS im Allgemeinen schauen Sie sich unsere an umfassender Leitfaden.

Willst du mehr darüber erfahren, wie man sicheren Code schreibt und Risiko mindern? Probiere unsere XSS Injection Challenge kostenlos.

Wenn du an weiteren kostenlosen Codierungsrichtlinien interessiert bist, schau dir das an Sicherer Code-Coach um Ihnen zu helfen, den Überblick über die Best Practices für sichere Codierung zu behalten.

‍