TL; DR
Nahezu jedes Entwicklerteam nutzt KI-Programmierassistenten. Fast keines kann jedoch genau auflisten, welche KI-Systeme tatsächlich zum Einsatz kommen. Gartner hat AI Security Posture Management als Kategorie in seinem Hype Cycle für Datensicherheit 2025 definiert, weil die Lücke real ist: Modelle, Agenten, MCP-Server und Datensätze sind KI-Assets auf der Angriffsfläche, und die meisten Organisationen haben keine strukturierte Möglichkeit, diese zu sehen.
Entdeckung ohne Behebung ist nur eine dashboard. Etwa 40 % des KI-generierten Codes weisen Sicherheitslücken auf. KI-Assistenten reproduzieren unsichere Muster in einem Ausmaß, für das keine manuelle Überprüfung ausgelegt ist. Die Kenntnis der vorhandenen KI-Ressourcen löst nur die Hälfte des Problems – die andere Hälfte besteht darin, deren Risiko zu bewerten und den Code vor der Auslieferung zu korrigieren, und zwar im selben Workflow, in dem er erstellt wurde.
Die Angriffsfläche ist größer als der Code. Dokumentierte Angriffe zielen bereits auf die Ressourcen ab, die den Code umgeben: versteckter Unicode in Regeldateien, der dazu führt, dass Assistenten manipulierte Ausgaben erzeugen, MCP-Tool-Poisoning und vollständige Remote-Codeausführung über eine weit verbreitete MCP-Bridge (über 437,000 Downloads) sowie Slopsquatting – die Registrierung von Paketnamen, die KI-Modelle statistisch gesehen wahrscheinlich erzeugen. SAST und SCA Ich sehe nichts davon.
Die Lösung besteht aus einer Schleife, nicht aus drei Werkzeugen: AI-SPM erstellt den Lagerbestand und die KI-Stückliste; KI-Sicherheit Bewertet das Risiko im Vergleich zu den OWASP Top 10 für LLM-Bewerbungen; DevAI Behebt Sicherheitslücken im Code innerhalb der IDE während der Entwicklung, deckt sowohl KI-generierten als auch von Menschen geschriebenen Code ab und fängt Aktionen anderer Akteure ab, bevor diese sie ausführen. Dies gilt sowohl für die Ergebnisse der Scanner von Xygeni als auch für alle Daten, die bereits von den vorhandenen Tools erfasst wurden. — kein kompletter Austausch erforderlich.
Nahezu jedes Entwicklerteam setzt KI-gestützte Programmierassistenten ein. Doch fast keines kann eine einfache Frage beantworten: Welche KI-Modelle, Agenten und MCP-Server verwenden wir tatsächlich, und welches Risiko birgt jedes einzelne? Diese Wissenslücke hat nun einen Namen: Gartner hat sie offiziell als „AI Security Posture Management“ definiert. (AI-SPM) als Kategorie in ihrer Hype-Zyklus 2025 für Datensicherheit — aus derselben Entwicklungslinie, die auch CSPM und DSPM hervorgebracht hat. Diese Kategorie existiert, weil die Zahlen eindeutig sind: Rund 40 % des von KI generierten Codes weisen Sicherheitslücken auf, KI ist mittlerweile Teil der Angriffsfläche und nicht mehr nur ein Werkzeug für Entwickler, und die meisten Organisationen verfügen über kein strukturiertes Inventar ihrer KI-Systeme.
Das ist auch das Thema, das wir vor Ort besprechen werden. OWASP AppSec Days Portugal 2026, 23.-24. September in Porto, wo Xygeni ist Goldsponsor.Mehr dazu am Ende, aber wenn Sie direkt zum nächsten Abschnitt springen möchten, Hier erhalten Sie Ihr Ticket..
Das Problem: KI-generierter Code birgt ein eigenes Risikoprofil
Etwa 40 % des von KI generierten Codes weisen Sicherheitslücken auf. Unabhängige Studien zu KI-Programmierassistenten haben durchweg hohe Ausfallraten festgestellt. OWASP Top 10Bestimmte Fehlerkategorien wie Cross-Site-Scripting treten in der überwiegenden Mehrheit der generierten Codebeispiele auf. KI-Assistenten schreiben nicht nur schneller Code. Sie reproduzieren auch schneller unsichere Muster, unsichere Abhängigkeiten und unsichere Konfigurationen – und das in einem Ausmaß, für das kein manueller Prüfprozess ausgelegt ist.
Die Angriffsfläche endet nicht beim Code, den ein Assistent schreibt. Sie erstreckt sich auch auf die KI-Ressourcen, die Ihre Teams bereits einsetzen und selten inventarisieren: Modelle, Datensätze, Agenten und MCP-Server. Jede dieser Ressourcen hat bereits zu realen, dokumentierten Angriffen geführt.
- Hintertür in der Regeldatei: Angreifer verstecken Anweisungen mithilfe unsichtbarer Unicode-Zeichen in Regeln und Konfigurationsdateien, die von Tools wie GitHub Copilot und Cursor gelesen werden. Dadurch gibt der Assistent manipulierten Code aus, ohne dies jemals zu erwähnen. MITRE ATLAS Fallstudie.
- MCP-Tool-Poisoning und Remote-Code-Ausführung: Eine kritische Sicherheitslücke in einer weit verbreiteten MCP-Bridge, die mehr als 437,000 Mal heruntergeladen wurde, ermöglichte die vollständige Ausführung von Remote-Code, sobald sich ein Client mit einem nicht vertrauenswürdigen MCP-Server verband.
- Slopsquatting: Eine groß angelegte akademische Studie generierte über zwei Millionen Codebeispiele in sechzehn LLMs und stellte fest, dass fast jedes fünfte empfohlene Paket gar nicht existierte – Namen, die Angreifer im Voraus registrieren und für ihre Zwecke missbrauchen können.
Nichts davon taucht in einem traditionellen SAST or SCA Scannen. Diese Tools verstehen Code. Sie verstehen aber nicht, was ein Modell ist, was ein MCP-Server tut oder ob die Konfigurationsdatei eines Agenten manipuliert wurde.
Die meisten Teams lösen nur die Hälfte des Problems.
Die instinktive Reaktion ist, zusätzliche Tools zu verwenden: eines für die Modellprüfung, ein weiteres für Laufzeit-Prompt-Firewalls, ein drittes für IDE-AssistentenEs ist derselbe Fehler, den AppSec gemacht hat. SAST, SCAUnd wenn man die Geheimnissuche vor fünfzehn Jahren betrachtet, führt sie zum gleichen Ergebnis: fragmentierte Transparenz, Alarmrauschen und keine zentrale Anlaufstelle, um die Frage zu beantworten: „Welche KI setzen wir eigentlich ein und ist sie sicher?“
Die Erkennung ohne Behebung zeigt lediglich, wo das Problem liegt. Die Behebung ohne Erkennung bedeutet, dass Sie Code reparieren, während im Hintergrund unkontrollierte MCP-Server und nicht autorisierte Agenten unbeaufsichtigt weiterlaufen. KI-gestützte Sicherheit muss beides auf derselben Plattform abdecken, sonst handelt es sich nicht um Sicherheitsmanagement. dashboard.
Der bessere Weg: KI-gestütztes Sicherheitsmanagement, das Sicherheitslücken erkennt, identifiziert und behebt.
Xygeni KI-Sicherheit schließt diesen Kreislauf über das gesamte KI-Zeitalter hinweg. SDLC, vom Modell und dem MCP-Server bis zum Endpunkt des Entwicklers.
- Entdecken. AI-SPM erstellt ein Live-Inventar aller KI-Ressourcen im Unternehmen: Modelle, Datensätze, Agenten, MCP-Server. Es beweist, dass das Inventar mit einem KI-BOM, die von Prüfern und Aufsichtsbehörden zunehmend geforderte Evidenzbasis, sei es die technische Dokumentation für Hochrisikosysteme gemäß dem EU-KI-Gesetz oder die von Rahmenwerken wie dem spanischen ENS geforderten Anlageninventare.
- Erkennen. AI Security bewertet jedes Asset anhand realer Risiken: proaktive Einschleusung, unsichere MCP-Konfigurationen, Datenexposition, abgestimmt auf die OWASP Top 10 für LLM-BewerbungenDie Ergebnisse werden nach Rangfolge sortiert, nicht in eine Warteschlange gestellt.
- Beheben Sie das Problem, sobald der Code geschrieben ist. Hier kommt die KI-generierte code security wird tatsächlich gelöst. Xygeni DevAI Es läuft als kontinuierliche Schicht innerhalb der IDE und scannt inkrementell, während Entwickler sowohl mit von Menschen geschriebenem als auch mit KI-generiertem Code arbeiten. Es führt eine agentenbasierte KI-Schwachstellenerkennung durch und erstellt Karten. KI-gesteuerte Angriffspfade um aufzuzeigen, wie ein Fehler tatsächlich ausgenutzt werden könnte, und liefert KI-generierte sichere Korrekturen, die auf Ausnutzbarkeit und das Risiko von Inkompatibilitäten geprüft werden, bevor ein Entwickler sie jemals anwendet. Guardrails Änderungen werden anhand der Sicherheits- und Compliance-Richtlinien validiert, bevor sie die CI erreichen. Ein dedizierter DevAI-Agent fängt ab, was andere Agenten tun wollen: Er validiert Skill- und Regeldateien, überprüft jedes Paket, das ein Agent zu installieren versucht, auf Malware und Slopsquatting-Muster und überwacht das Verhalten des MCP-Tools auf Manipulationen – alles vor der Ausführung.
- Erzwingen. Shield Die gleiche Richtlinie wird auch auf den Endpunkt des Entwicklers angewendet, wodurch unsichere KI-Aktivitäten blockiert werden, bevor sie ausgeführt werden.
Und weil KI-TriageErklärung und Abhilfemaßnahmen beziehen sich nicht nur auf die eigenen Erkenntnisse von Xygeni, sondern auf alles, was aus bereits vorhandenen Tools übernommen wird. Die Teams erhalten dies, ohne das, worin sie bereits investiert haben, wieder entfernen zu müssen.
Treffen Sie Xygeni bei den OWASP AppSec Days Portugal 2026
Wir bringen dieses Gespräch nach Porto. Xygeni ist Goldsponsor bei OWASP AppSec Days Portugal 2026, Laufen September 23-24 in der Fundação António Cupertino de Miranda.
Wir werden auf der Veranstaltung über die praktische Anwendung des KI-Sicherheitsmanagements sprechen: wie Teams KI-Ressourcen entdecken, von denen sie nichts wussten, und wie KI-generierte code security passt in ein bestehendes AppSec-Programm, anstatt daneben zu sitzen, und wie die aktuelle Welle von MCP- und agentenbasierten Bedrohungen in der Praxis aussieht.
Wenn Sie teilnehmen, Besuchen Sie das Xygeni-Team an Stand 12. Wenn die KI-Sicherheit auf Ihrer Agenda steht und Sie nicht nach Porto kommen können, erläutern wir Ihnen das Thema gerne persönlich. Am selben Tag sind wir auch auf der Deutscher OWASP-Tag 2026 in Karlsruhe, im Gespräch über KI-Sicherheit und Shieldspeziell die Durchsetzungsebene.
Vereinbaren Sie einen Termin mit uns!
FAQ
- Was ist KI-gestütztes Sicherheitsmanagement (AI-SPM)?
AI-SPM ist die Disziplin, die Risiken aller KI-Assets eines Unternehmens – Modelle, Datensätze, Agenten und MCP-Server – zu ermitteln, zu inventarisieren und kontinuierlich zu bewerten. Dies entspricht der Vorgehensweise von CSPM für Cloud- und DSPM für Daten. Gartner hat AI-SPM im Hype Cycle für Datensicherheit 2025 als eigene Kategorie definiert. Xygenis AI-SPM erstellt dieses Inventar und ergänzt es mit einer KI-Stückliste (AI BOM). So erhalten Sicherheits- und Compliance-Teams Nachweise, die sie einem Auditor vorlegen können.
- Was macht KI-generierte code security anders als traditionelle SAST or SCA?
Herkömmliche statische Codeanalyse und Abhängigkeitsprüfung wurden entwickelt, um Code und Pakete zu verstehen, nicht aber KI-spezifische Risiken. Sie erkennen weder Prompt-Injection, schädliche Regeln oder Skill-Dateien, MCP-Tool-Poisoning noch unberechtigte Paketnamen, die ein KI-Assistent installieren könnte. KI-generiert code security muss in den gleichen Workflow integriert sein, den Entwickler bereits verwenden, und sowohl von Menschen geschriebenen als auch KI-generierten Code gemeinsam scannen, was Xygeni DevAI innerhalb der IDE tut.
- Warum enthalten rund 40 % des von KI generierten Codes Sicherheitslücken?
KI-Programmierassistenten lernen aus ihren Trainingsdaten und reproduzieren deren Muster – auch unsichere – und generieren Code weitaus schneller, als manuelle Überprüfungen mithalten können. Unabhängige Studien belegen durchweg hohe Raten an OWASP Top 10-Schwachstellen in KI-generierten Beispielen, wobei bestimmte Fehlerkategorien wie Cross-Site-Scripting in der überwiegenden Mehrheit der Tests auftreten.
- Ersetzt AI-SPM unsere bestehenden AppSec-Tools?
Nein, und das sollte es auch nicht versuchen. Xygenis KI-Triage, -Erklärung und -Behebung gelten sowohl für Ergebnisse von Xygenis eigenen Scannern als auch für Ergebnisse, die von bereits vorhandenen Drittanbieter-Tools übernommen werden. So erhalten Teams eine einheitliche KI-Risikoabdeckung, ohne ihre bestehenden Investitionen komplett ersetzen zu müssen.
- Wo kann ich das in Aktion sehen?
Xygeni ist Goldsponsor der OWASP AppSec Days Portugal 2026., 23.-24. September in Porto, und das Team wird vor Ort sein bei Stand 12 Gespräch durch AI-SPM, KI-generiert code securityund die aktuelle Welle von MCP- und Agentenbedrohungen. Sichern Sie sich Ihr Ticket oder kontaktieren Sie uns direkt, falls Sie nicht nach Porto reisen können.
In derselben Woche sind wir auch bei Deutscher OWASP-Tag 2026 in Karlsruhe, mit Schwerpunkt auf KI-Sicherheit und ShieldDurchsetzungsebene.
