Herausforderungen und Chancen der KI-Integration in der Softwareentwicklung

Die rasante Entwicklung und Implementierung künstlicher Intelligenz (KI) in der Softwareentwicklung führt zu einer Transformation der Software-Lieferketten. Während KI-gestützte Entwicklungstools die Effizienz und Geschwindigkeit erhöhen, entstehen gleichzeitig neue Herausforderungen für die Governance und Sicherheit von Software. Aktuelle Analysen, wie beispielsweise der Open Source Security and Risk Analysis (OSSRA)-Bericht, beleuchten diese Entwicklungen und zeigen die Notwendigkeit einer Modernisierung der Governance-Strategien auf.

KI-gestützte Entwicklung und ihre Auswirkungen auf die Software-Lieferkette

Die Einführung von KI-Assistenten wie GitHub Copilot, Cursor und Windsurf in den Entwicklungsprozess ermöglicht eine beschleunigte Feature-Bereitstellung. Diese Beschleunigung bringt jedoch auch eine erhöhte Komplexität und potenzielle Schwachstellen mit sich. Laut dem OSSRA-Bericht von 2026, der 947 Codebasen aus 17 Branchen untersuchte, sind Open-Source-Komponenten in 98 Prozent der kommerziellen Codebasen zu finden. Diese allgegenwärtige Nutzung bedeutet, dass fast jede Anwendung automatisch Risiken von Drittanbietern erbt. Die Komplexität von Codebasen nimmt exponentiell zu, wobei die Anzahl der Dateien pro Projekt um 74 Prozent jährlich und die durchschnittliche Anzahl der Open-Source-Komponenten um 30 Prozent steigt.

Jason Schmitt, CEO von Black Duck, betont, dass KI die Ökonomie der Softwareentwicklung und damit auch die des Software-Risikos grundlegend verändert hat. Das Tempo der Softwareerstellung übersteigt oft die Fähigkeit vieler Organisationen, diese ausreichend zu sichern.

KI-Codierung als Multiplikator von Lieferkettenbedrohungen

Die exponentielle Expansion der Codebasen stellt Plattform-Engineering-Leiter vor erhebliche Governance-Herausforderungen. Sicherheitstools, die für menschliche Programmiergeschwindigkeiten konzipiert wurden, haben Schwierigkeiten, das Volumen der Abhängigkeiten zu verarbeiten, die von automatisierten Workflow-Assistenten generiert werden. Infolgedessen verdoppelte sich die durchschnittliche Anzahl der Open-Source-Schwachstellen pro Codebasis innerhalb eines Jahres auf durchschnittlich 581. Ein Großteil dieser Bedrohungslandschaft ist hochaktiv, wobei 65 Prozent der befragten Organisationen im letzten Jahr von einem Software-Lieferkettenangriff betroffen waren.

Bösartige Akteure nutzen häufig die Vertrauensmodelle zentraler Repositories aus. Koordinierte Kampagnen, wie PhantomRaven, umgehen statische Analysen durch direktes Einschleusen von Payloads während des Installationsprozesses. Der Shai-Hulud-Wurm automatisierte seine Verbreitung, indem er Entwickler-Anmeldeinformationen sammelte, um kompromittierte Updates über mehrere Pakete hinweg zu verbreiten. Darüber hinaus bleiben ältere Komponenten eine anhaltende Bedrohung; acht der zehn größten Hochrisiko-Schwachstellen, die 2025 identifiziert wurden, stammten aus veralteten jQuery-Versionen. Die am häufigsten betroffene jQuery-Schwachstelle, CVE-2020-11023, wird aktiv ausgenutzt und ist im vom CISA verwalteten Katalog der bekannten ausgenutzten Schwachstellen aufgeführt.

Die unsichtbare Lizenzierungslücke

Die Einhaltung von Lizenzen stellt ein weiteres wachsendes Betriebsrisiko dar. Zwei Drittel der geprüften kommerziellen Codebasen weisen derzeit Lizenzkonflikte auf, was die höchste Rate in der Geschichte des OSSRA-Berichts darstellt. Der Anstieg um 12 Prozent gegenüber dem Vorjahr (von 56 % auf 68 %) markiert den größten Anstieg innerhalb eines Jahres, den die Studie verzeichnete.

Die kombinatorische Komplexität moderner Cloud-nativer Anwendungen treibt diesen Trend voran, wobei ein durchschnittliches Projekt im Jahr 2026 1.180 Komponenten enthält. Da 64 Prozent der Open-Source-Komponenten als transitive Abhängigkeiten fungieren, übernehmen Entwickler routinemäßig rechtliche Bedingungen, die sie nie explizit überprüft haben.

Generative Code-Modelle verkomplizieren diesen rechtlichen Rahmen zusätzlich. Assistenten, die auf umfangreichen öffentlichen Repositories trainiert wurden, können Code-Snippets reproduzieren, die restriktiven Copyleft-Bedingungen, wie der GPL oder AGPL, unterliegen, was das rechtliche und lizenztechnische Risiko erhöht. Nichts in der generierten Ausgabe weist auf ihren Ursprung hin, wodurch eine unsichtbare Compliance-Lücke entsteht.

Derzeit überprüfen 76 Prozent der befragten Organisationen KI-generierten Code in ihrer Lieferkette auf Sicherheitsrisiken, aber nur 54 Prozent bewerten ihn auf geistiges Eigentum und Lizenzrisiken, und lediglich 56 Prozent beurteilen Qualitätsprobleme. Insgesamt führen nur 24 Prozent umfassende IP-, Lizenz-, Sicherheits- und Qualitätsbewertungen für KI-generierten Code durch. Darüber hinaus schafft die direkte Integration von Machine-Learning-Modellen in Produktionsumgebungen eine völlig neue und unregulierte Angriffsfläche.

Umgang mit Wartungsschulden

Hinter diesen unmittelbaren Sicherheits- und rechtlichen Bedenken verbirgt sich das sich verstärkende Problem der Wartungsschulden.

Software-Obsoleszenz ist weit verbreitet: 93 Prozent der Codebasen von 2026 enthalten Komponenten, die seit über zwei Jahren keine Entwicklungsaktivität mehr gesehen haben. Diese aufgegebenen Projekte machen Entwicklungsteams anfällig, wenn neue Exploits auftauchen, da es keinen aktiven Maintainer gibt, der einen Patch bereitstellen könnte. Die Schwierigkeit, Abhängigkeiten zu aktualisieren, die oft umfangreiche Refaktorierungen und Regressionstests erfordert, führt dazu, dass Teams die Wartung zugunsten der Feature-Bereitstellung verzögern.

Diese Anhäufung technischer Schulden bedroht direkt die Einhaltung bevorstehender internationaler Vorschriften. Der European Union Cyber Resilience Act beispielsweise wird eine umfassende Schwachstellenbehandlung für alle Softwareprodukte vorschreiben, die in seinem Markt verkauft werden.

Der OSSRA-Bericht 2026 warnt davor, dass Organisationen diese neuen Vorschriften nicht einhalten können, wenn sie KI-Modelle nicht mit derselben Genauigkeit wie Open-Source-Komponenten verfolgen, die Genauigkeit von Software Bill of Materials (SBOMs) verbessern und transparente Richtlinien für die KI-Nutzung entwickeln.

Um dieses Umfeld zu navigieren, müssen technische Führungskräfte eine strenge Governance für Drittanbieter- und KI-generierten Code in ihrer Lieferkette etablieren und Software Composition Analysis (SCA)-Plattformen nahtlos in die CI/CD-Pipeline integrieren.

Entwicklungsteams müssen die langfristige Wartungsentwicklung jeder Open-Source-Bibliothek bewerten, bevor sie diese einem Projekt hinzufügen. Transparenz ist zur neuen Währung des Vertrauens geworden; Organisationen müssen genau wissen, was sich in ihrer Software befindet, bevor Kunden und Regulierungsbehörden Antworten verlangen.

Die kontinuierliche Überwachung der Abhängigkeitsgesundheit und die Automatisierung von Schwachstellenreaktionsprozessen werden für den Schutz des ROI von Unternehmen und die Erfüllung bevorstehender regulatorischer Anforderungen unerlässlich sein.

„Unternehmen, die es versäumen, ihre Lieferketten-Governance zu modernisieren, riskieren, nicht nur technologisch, sondern auch wettbewerbsfähig ins Hintertreffen zu geraten“, so Schmitt abschließend.

Die Herausforderungen, die sich aus der Integration von KI in die Softwareentwicklung ergeben, sind vielschichtig und erfordern eine proaktive und umfassende Strategie. Die Gewährleistung der Sicherheit, Compliance und Qualität in der Software-Lieferkette ist entscheidend für den Geschäftserfolg in einer zunehmend KI-getriebenen Welt.

Bibliographie

- Daws, R. (2026, 25. Februar). Black Duck: AI coding demands modern supply chain governance. DeveloperTech. Abgerufen von https://www.developer-tech.com/news/black-duck-ai-coding-modern-supply-chain-governance/ - Black Duck Software. (2026, 4. Februar). Black Duck Releases BSIMM16 Revealing AI and Regulatory Compliance Reshaping Application Security Processes. PR Newswire. Abgerufen von https://www.prnewswire.com/news-releases/black-duck-releases-bsimm16-revealing-ai-and-regulatory-compliance-reshaping-application-security-processes-302676652.html - Hamilton, C. (2025, 17. Dezember). AI coding security gap: 76% of orgs expose software supply chain to risk. Black Duck Blog. Abgerufen von https://www.blackduck.com/blog/ai-coding-security-gap-software-supply-chain-risk.html - Black Duck Software. (2025, 17. Dezember). Black Duck Report Reveals Software Supply Chains Vulnerable as AI Adoption Outpaces Security. PR Newswire. Abgerufen von https://news.blackduck.com/2025-12-17-Black-Duck-Report-Reveals-Software-Supply-Chains-Vulnerable-as-AI-Adoption-Outpaces-Security - Black Duck Software. (2025, 26. August). New Black Duck Research Shows AI and Supply Chain Transparency Redefining Embedded Software Landscape. PR Newswire. Abgerufen von https://news.blackduck.com/2025-08-26-New-Black-Duck-Research-Shows-AI-and-Supply-Chain-Transparency-Redefining-Embedded-Software-Landscape - Bals, F. (2024, 16. Mai). The changing face of software supply chain security risk. Black Duck Blog. Abgerufen von https://www.blackduck.com/blog/software-supply-chain-security-report.html - Black Duck Software. (2025, Oktober). Balancing AI Usage and Risk in 2025: The Global State of DevSecOps (Report). Abgerufen von https://www.blackduck.com/content/dam/black-duck/en-us/reports/rep-global-devsecops-report.pdf