Die größte Krise der Softwarewelt!

Soner Acar hat auf Basis des kürzlich in der Technologiewelt bekannt gewordenen Sicherheitsvorfalls bei GitHub aufschlussreiche Einschätzungen abgegeben. Nachdem GitHub bekannt gegeben hatte, dass es aufgrund einer schädlichen VS-Code-Erweiterung auf dem Computer eines Mitarbeiters zu einem Datenleck gekommen war, erklärte Acar, dass das eigentliche Risiko in den Entwicklungsumgebungen wachse.

„DER AM STÄRKSTEN AUTORISIERTE, ABER AM WENIGSTEN ÜBERWACHTE BEREICH“

Soner Acar wies darauf hin, dass der Sicherheitsansatz jahrelang nach dem Prinzip „Vertraue dem Entwickler, schütze die Plattform“ verlief, dieser Ansatz heute jedoch ernsthafte Risiken berge.

Laut Acar sind die lokalen Computer, die von Entwicklern genutzt werden, nicht mehr nur Orte, an denen Code geschrieben wird; sie sind zu Zentren geworden, in denen SSH-Schlüssel, Cloud-Service-Token und kritische Anmeldedaten gespeichert werden, die den Zugriff auf Produktionsumgebungen ermöglichen.

Acar betonte, dass in diesen Systemen eine Vielzahl von Drittanbieter-Software mit vollen Zugriffsrechten arbeitet, ohne von Sicherheitsteams überprüft zu werden.

VS-CODE-ERWEITERUNGEN UND KI-TOOLS UNTER RISIKO

Soner Acar erklärte, dass der Vorfall bei GitHub die Anfälligkeit in der Software-Lieferkette erneut offengelegt habe, und wies insbesondere auf VS-Code-Erweiterungen sowie KI-basierte Code-Assistenten hin.

Acar äußerte: „Die nächste Station der Krise, die wir heute bei VS-Code-Erweiterungen erleben, werden KI-Code-Assistenten und MCP-Server sein.“

Acar wies darauf hin, dass KI-Tools, die lokal laufen und vollen Zugriff auf das Dateisystem haben, auch auf das Internet zugreifen können, und sagte, dass die Lieferkette dieser Strukturen weitgehend unkontrolliert sei.

WARNUNG VOR „VORSICHT“ SEI UNZUREICHEND

Soner Acar erklärte, dass es nicht mehr ausreiche, nur die Mitarbeiter zu warnen, und betonte, dass automatisierte Sicherheitsmechanismen zwingend erforderlich seien.

Zu den von Acar hervorgehobenen Sicherheitsmaßnahmen gehören „Pre-Commit-Hook“-Systeme. Acar betonte, dass diese Strukturen sensible Informationen wie .env-Dateien, API-Schlüssel und Zertifikate vor jedem Vorgang, den Softwareentwickler durchführen, automatisch scannen sollten, und wies darauf hin, wie wichtig es sei, den Vorgang bei Erkennung eines Risikos sofort zu stoppen.

AUFRUF ZUR EINSCHRÄNKUNG FÜR KI-AGENTEN

Soner Acar sagte, dass auch für KI-gestützte Code-Assistenten spezielle Sicherheitsmechanismen eingerichtet werden müssten.

Acar erklärte, dass Systembefehle und Schreibvorgänge von Tools wie Claude Code und Codex durch „Agent-Hook“-Mechanismen überwacht werden sollten, und betonte, dass sensible Daten durch Konfigurationen wie .claudeignore vollständig vom Zugriff ausgeschlossen werden müssten.

„ANMELDEINFORMATIONEN SOLLTEN NICHT IN LOKALEN DATEIEN GESPEICHERT WERDEN“

Ein weiteres Thema, auf das Acar aufmerksam machte, war die zentrale Passwortverwaltung.

Soner Acar erklärte, dass das Speichern von Anmeldedaten in lokalen Dateien ein großes Risiko darstelle, und empfahl die Verwendung zentraler Tresore wie AWS Secrets Manager.

Acar betonte, dass sensible Informationen nur zur Laufzeit abgerufen werden sollten.

„ENTWICKLUNGSUMGEBUNGEN MÜSSEN NUN WIE LIVESYSTEME GESCHÜTZT WERDEN“

Zum Abschluss seiner Erklärung betonte Soner Acar, dass Entwicklungsumgebungen nicht mehr mit klassischen Methoden geschützt werden könnten, und sagte, dass Unternehmen die „Dev Environment“-Struktur wie ein Livesystem verwalten müssten.