Vibe Coding in Fachabteilungen Citizen Developer: „Heute ist jeder ein Entwickler“

Anbieter zum Thema

Kestra S.A.S.

QUNIS GmbH

Fivetran Germany GmbH

„Heute ist jeder ein Entwickler“, sagt Lior Levy, CEO des AppSec-Anbieters Cycode, doch für die IT-Sicherheit ist das vor allem ein Problem. Mitarbeiter ohne Programmierkenntnisse bauen mit KI-Agenten eigene Anwendungen und die gängigen Sicherheitsframeworks haben nach Einschätzung der Cloud Security Alliance darauf keine passenden Antworten. Cycode setzt deshalb am Arbeitsplatzrechner an.

Ein Vertriebsmitarbeiter lässt sich von einem Coding-Agenten ein Dashboard für seine Kundendaten bauen, die Marketingabteilung einen Lead-Rechner mit Anbindung ans CRM. Der Agent schreibt den Code, installiert Pakete, nutzt Zugangsdaten und stellt die Anwendung im Zweifel gleich selbst bereit. Ein Repository, eine CI/CD-Pipeline oder ein Code-Review gibt es dabei oft nicht. Damit laufen auch die Sicherheitsprüfungen ins Leere, die eigentlich genau dort ansetzen sollen. Verbindliche Regeln für den KI-Einsatz hatten laut einer Bitkom-Umfrage aus dem letzten Jahr auch nur 23 Prozent der deutschen Unternehmen.

Frameworks hinken hinterher

Die Cloud Security Alliance (CSA) hat das Problem untersucht. Keines der verbreiteten KI-Sicherheitsframeworks biete eine eigene, zugängliche Anleitung für Citizen Developer. Das gilt laut CSA für das AI Risk Management Framework des NIST ebenso wie für die OWASP-Top-10 für LLM-Anwendungen und die hauseigenen Werke MAESTRO und AI Controls Matrix. In der AI Controls Matrix etwa falle der Citizen Developer zwischen die Rollen „Application Provider“ und „AI Customer“. Die Kontrollpflichten beider Rollen könne er strukturell kaum erfüllen.

Die CSA verweist auf einen Scan von 5.600 per Vibe Coding erstellten Anwendungen im Produktivbetrieb. Keine davon hatte demnach CSRF-Schutz, Security Header oder sauber begrenzte Zugriffsrichtlinien. Viele dieser Anwendungen entstehen zudem auf Plattformen, die das Unternehmen selbst freigegeben hat. Die Plattform sei genehmigt, die einzelne Anwendung nicht, so die CSA.

Governance statt Allowlist

Warum das Model Context Protocol im Unternehmen kein Auslaufmodell ist

Cycode setzt am Endgerät an

Levy sieht neben den „erhebliche Risiken“, in dieser Entwicklung auch „enorme Möglichkeiten für Innovation“. Cycode hat deswegen Citizen Developer Security vorgestellt, zunächst als Private Preview. Die Plattform soll nach eigenen Angaben automatisch erfassen, wer im Unternehmen mit KI entwickelt und welche Coding-Agenten, MCP-Server und Tools dabei im Einsatz sind. Auf der Workstation blockiere sie schädliche Pakete vor der Installation. Zudem verhindere sie, dass Zugangsdaten in Prompts oder MCP-Aufrufen landen. Was die Agenten erzeugen, prüfe sie vor dem Produktivgang.

Probleme soll das System selbst beheben, statt den Nutzer mit einem Ticket zu konfrontieren. Dor Atias, Mitgründer und Chief Product Officer von Cycode, ergänzt: „Citizen Developer müssen nicht programmieren können. Ebenso wenig sollten sie wissen müssen, wie sie Sicherheitslücken beheben. Man kann einem Mitarbeitenden aus dem Marketing nicht einfach ein Jira-Ticket zuweisen und erwarten, dass er das Problem behebt. Cycode schließt die so drohenden Sicherheitslücken. Die Lösung erkennt Risiken bereits während der Entwicklung durch KI-Agenten, behebt sie innerhalb der vom Sicherheitsteam festgelegten Richtlinien und ermöglicht es den Mitarbeitenden, ihre Arbeit fortzusetzen. So kann jeder im Unternehmen eine innovative Idee in sichere Software verwandeln.“

Software-Entwicklung neu gedacht

Low Code – Big Impact: Gekommen, um zu bleiben?

(ID:51010177)