Written with AI assistance from the source video. The video is the authority.
Log in to leave a comment
No posts yet
Open Source ist praktisch, aber ebenso riskant. Laut einer Umfrage aus dem Jahr 2025 ist die Fehlerrate im Vergleich zum Vorjahr um 41 % in die Höhe geschnellt, seit KI begann, Code für uns zu schreiben. Für Sicherheitsverantwortliche, die zehntausende Zeilen externer Bibliotheken allein prüfen müssen, kommt dies einer Katastrophe gleich. Da es unmöglich ist, jeden Codeabschnitt manuell zu lesen, müssen wir die KI zu unserem Verbündeten machen. Hier erfahren Sie, wie Sie einen intelligenten Sicherheits-Workflow erstellen, der ähnlich wie Project Glasswing funktioniert.
Durch die Automatisierung von Sicherheitsüberprüfungen können Sie repetitive Aufgaben eliminieren, die bisher über 10 Stunden pro Woche in Anspruch genommen haben. Zudem werden menschliche Flüchtigkeitsfehler vermieden. Bauen Sie eine Pipeline in Ihrer GitHub-Actions-Umgebung auf, die bei jedem Pull Request die LLM-API aufruft und einen Echtzeit-Scan durchführt. Der Schlüssel liegt in einer Strategie, die Identifikation und Prüfung voneinander trennt, anstatt der KI einfach nur Fragen zu stellen.
LLM_API_KEY in den GitHub Secrets. Er muss in einem verschlüsselten Libsodium-Speicher aufbewahrt werden, um ein Abfließen des Schlüssels nach außen zu verhindern.path-filter in der YAML-Konfiguration, um gezielt sensible Verzeichnisse wie src/auth oder lib/core zu scannen, deren Kompromittierung kritische Folgen hätte.Sobald dieses Setup steht, muss der Sicherheitsverantwortliche statt zehntausender Codezeilen nur noch den von der KI zusammengefassten Sicherheitsbericht prüfen.
KI-Tools sind gut darin, Schwachstellen zu finden, produzieren aber auch viele Fehlalarme (False Positives). Wenn von 100 gefundenen Schwachstellen 15 falsch sind, sorgt das unweigerlich für Frust im Entwicklungsteam. Um begrenzte Entwicklungsressourcen nicht zu verschwenden, benötigen Sie Kriterien, um echte Bedrohungen zu identifizieren. Priorisieren Sie Aufgaben durch die Kombination von CVSS 4.0-Scores mit EPSS-Metriken, die angeben, ob eine Schwachstelle aktuell tatsächlich aktiv ausgenutzt wird.
Schon die Konzentration auf „Critical“-Einstufungen ab 9,0 Punkten hebt das Sicherheitsniveau massiv an. Durch die Reduzierung unnötiger Korrekturaufforderungen verringern sich auch die Reibungspunkte mit dem Entwicklungsteam.
Von der KI vorgeschlagene Korrekturen sehen oft perfekt aus, können aber manchmal bestehende Funktionen beeinträchtigen. Unternehmen wie Shopify setzen zwar auf KI, vertrauen dem generierten Code jedoch nicht blind. Sie sollten ein automatisiertes Verfahren etablieren, um die Sicherheit des Patch-Codes in isolierten Umgebungen wie Firecracker oder gVisor zu prüfen.
sbx CLI, um eine MicroVM zu starten, die exakt dieselbe Laufzeitumgebung wie Ihr aktueller Dienst hat.Solche Sicherheitsvorkehrungen verhindern, dass Code, der „fast richtig“, aber im Detail fehlerhaft ist, auf die Produktionsserver gelangt.
Es reicht nicht aus, nur den eigenen Dienst zu reparieren. Es gehört auch zur Aufgabe von Sicherheitsverantwortlichen, Mängel in der verwendeten Open-Source-Software an das übergeordnete Projekt zu melden. Maintainer sind beschäftigte Menschen, daher müssen Sie ihnen klare Beweise liefern. Nutzen Sie die PVR-Kanäle von GitHub, um Berichte verantwortungsbewusst zu übermitteln.
Geben Sie im Titel den Typ und den Ort der Schwachstelle präzise an. Die Beifügung eines für jeden nachvollziehbaren Reproduktionspfads sowie von Screenshots ist obligatorisch. Am besten ist es, den zuvor in der Sandbox verifizierten Korrekturcode direkt mitzusenden. Wenn Sie die Prüfungszeit für die Maintainer verkürzen, steigt die Wahrscheinlichkeit einer schnellen Übernahme des Patches drastisch. Ein professioneller Bericht beweist die technische Kompetenz Ihres Unternehmens und kann sogar zur Vergabe einer offiziellen CVE-Nummer führen.