In der Anwendungssicherheit oder neudeutsch Application Security (AppSec) war der sogenannte „Shift Left“ lange Zeit eine, wenn nicht gar die wichtigste Maxime. Kurz gesagt ging es darum, Sicherheitsmechanismen nicht erst im Nachgang zu implementieren, etwa indem man eine fertige Anwendung auf mögliche Fehler und potenzielle Schwachstellen untersucht. Vielmehr sollten bereits im Entwicklungsprozess diese Bugs und Exploits ausfindig gemacht und eliminiert werden. Doch in dieser Welt leben wir nicht mehr, denn die KI-Revolution hat ihre Kinder mittlerweile gefressen. Eines davon war der lineare Software Development Lifecycle (SDLC).
Bis vor Kurzem haben Menschen Code geschrieben, Scanner ihn getestet und AppSec-Teams die Anwendung abgesichert. Künstliche Intelligenz hat nun die Geschwindigkeit, mit der Code erstellt wird, drastisch erhöht. So drastisch, dass herkömmliche Mechanismen der Anwendungssicherheit nur noch bedingt mithalten können. Und während die KI immer schneller immer mehr Code generiert, setzen Cyberkriminelle eben diese KI ein, um die Bedrohungslage zu verschärfen: insbesondere GenAI und mittlerweile auch KI-Agenten helfen ihnen, Schwachstellen zu identifizieren, Secrets aus Git-Repositories zu exfiltrieren und sich Zugang zu Systemen zu verschaffen. Darum dürfen Unternehmen keine Fehler machen und nur absolut sicheren Code sowie komplett fehlerfreie Anwendungen veröffentlichen.
An die Stelle des Softwareentwicklungs-Lebenszyklus tritt daher heute der Agentic Development Lifecycle. Menschen definieren die Absicht, während KI-Agenten Code mit Maschinengeschwindigkeit generieren und gleichzeitig ebenso schnell überprüfen, bereitstellen, betreiben, absichern und im Zweifel weiterentwickeln. Diese neue Lebensrealität zeigt, dass herkömmliche Sicherheitsmechanismen, -tools und -maßnahmen nicht mehr zeitgemäß sind. Oder anders ausgedrückt: Sicherheit muss ebenso einem agentischen Ansatz folgen wie die Softwareentwicklung. Sie muss sich zudem mit der KI weiterentwickeln und zu einer aktiven Kraft werden, die in den Agentic Development Lifecycle eingebettet ist. So wie Shift Left damals bedeutete, die Sicherheit möglichst früh im Entwicklungsprozess zu implementieren, bedeutet dieser Shift to AI, sie quasi direkt zum Zeitpunkt der Code-Generierung anzusiedeln und dem Menschen aus der Hand zu nehmen.
Das klingt zwar dramatisch, aber mit der Maschinengeschwindigkeit kann auch das beste AppSec-Team manuell nicht mithalten. Für die Anwendungssicherheit ist das der einzig gangbare Weg und – das ist die gute Nachricht – er sorgt für ein hohes Maß an Schutz, da somit endlich der Wandel von reaktiver zu proaktiver Verteidigung vollzogen wird. Das Fundament für den Shift to AI bilden drei Prinzipien:
1. Kontrolle
Sicherheit muss den KI-Agenten prägen, noch bevor er Code generiert. Es gilt, die Absichten klar zu definieren und damit dem KI-Agenten einen klaren Rahmen zu setzen, aus dem er nicht ausbricht. KI-Agenten müssen zudem gesteuert und kontrolliert werden: Regeln, Berechtigungen, Leitplanken und Auditierbarkeit müssen feststehen, bevor die erste Zeile Code generiert wird.
2. Kontext
Jede Entscheidung, die ein KI-Agent trifft, ist nur so vertrauenswürdig wie der Kontext, in dem sie getroffen wird. Der Mensch muss der KI Verantwortlichkeiten, Erreichbarkeit, Auswirkungsradius, geschäftliche Konsequenzen und das Geflecht von Abhängigkeiten vermitteln, das ein Agent allein nicht erkennen kann. Dieser Kontext macht aus einem KI-Agenten einen Mitgestalter statt eines reinen Code-Generators. Kontext verleiht ihm das Recht und die nötigen Informationen, um zu handeln.
3. Autonomie
Auch die Verteidigungsarbeit selbst muss agentenbasiert und proaktiv sein. Unternehmen benötigen dafür spezialisierte KI-Agenten, die kontinuierlich über jede Änderung hinweg Bedrohungen erkennen, priorisieren, beheben, validieren und verhindern. Gleichzeitig müssen sie an Richtlinien gebunden und rechenschaftspflichtig gegenüber Menschen bleiben. Autonomie bedeutet in diesem Zusammenhang nicht ein Wegfallen von Kontrolle. Sie bedeutet, Kontrolle operativ so zu gestalten, dass sie mit der Geschwindigkeit der Systeme Schritt hält, die sie schützen soll.
Am Ende des Tages geht es nicht darum, die Anwendungssicherheit einfach nur zu beschleunigen. Entscheidend ist, sie so in den Agentic Development Lifecycle zu integrieren, dass Sicherheit mit der Geschwindigkeit der KI skaliert. Kontrolle, Kontext und Autonomie schaffen dafür die Basis und nur so wird AppSec vom nachgelagerten Prüfschritt zur inhärenten Eigenschaft von Software.
