Die Warnung der britischen Cybersicherheitsbehörde kommt zu einem Zeitpunkt, an dem sich die Debatte über KI in der Softwareentwicklung deutlich zuspitzt. Horne betonte auf der RSA Conference, dass KI-Coding-Tools zwar das Potenzial hätten, die bisherige manuelle und fehleranfällige Softwareentwicklung zu disrumpieren, dies aber nur dann ein Gewinn für die Sicherheit sei, wenn die Tools von Anfang an mit Sicherheit als Kernprinzip konzipiert würden.
Das zentrale Dilemma: Künstliche Intelligenz könnte schneller, günstiger und effizienter sichere Software produzieren – oder aber bestehende Schwachstellen systematisch reproduzieren und neue hinzufügen. Das NCSC warnte, dass KI-generierter Code oft unzuverlässig, schwer zu warten und anfällig für Sicherheitsmängel sei.
Das wirtschaftliche Szenario ist bemerkenswert. Entwickler nutzen bereits KI-Tools, um Ersatz für kommerzielle SaaS-Produkte innerhalb von Stunden zu schaffen – oft als Reaktion auf steigende Abo-Kosten oder Funktionsbeschränkungen. Dies könnte das klassische SaaS-Geschäftsmodell fundamental bedrohen, das seit Jahren Enterprise-IT dominiert, indem es abonnementbasierten Zugang zu Software bot und Infrastruktur sowie Wartung an Anbieter auslagerte.
Das NCSC bezeichnete die Börsenreaktion im Februar als „eine Milliarde-Dollar-Bewegung” und zitierte den Terminus „SaaSpocalypse” – ein Szenario, bei dem die klassische SaaS-Industrie durch dezentrale, KI-generierte Lösungen verdrängt wird.
Für deutsche Organisationen ergeben sich daraus mehrere Implikationen: Erstens könnte die Beschaffung von Software künftig stärker von der unternehmensinternen KI-gestützten Entwicklung geprägt sein. Zweitens muss Sicherheit von Anfang an Teil dieser Entwicklung sein – nicht als Nachgedanke. Das NCSC warnte explizit, dass die Sicherheitscommunity von Beginn an eingebunden werden müsse, um nicht den Fehlern der Cloud-Adoption-Phase zu wiederholen.
Konkret empfiehlt das NCSC:
- KI-Systeme müssen standardmäßig sicheren Code generieren
- Integrität von AI-Modellen muss verifiziert werden
- Automatisierte Code-Reviews und Tests müssen ausgeweitet werden
Das NCSC prognostiziert, dass eine mögliche Disruption der SaaS-Branche über mehrere Jahre erfolgen wird. Überleben dürften primär jene Anbieter, deren Services nicht leicht durch Alternativen ersetzbar sind – etwa wegen kritischer Bedeutung, Regulierungsanforderungen oder Datenmassen.