De opkomst van met AI gegenereerde code dwingt organisaties tot een fundamentele herziening van hun securitystrategie. Waar traditionele applicatiebeveiliging jarenlang draaide om scannen en achteraf herstellen, ontstaat nu een nieuwe discipline: AI Code Security. Volgens James Berthoty, analist bij onderzoeksbureau Latio, is die verschuiving onvermijdelijk nu AI de manier waarop software wordt ontwikkeld ingrijpend verandert.
AI-codegeneratie via tools als Claude, Copilot en Codex zorgt voor een enorme versnelling in ontwikkelprocessen. Maar die productiviteitswinst heeft een keerzijde. Meer code betekent ook meer potentiële kwetsbaarheden — en bestaande securityprocessen zijn daar niet op ingericht.
Berthoty stelt dat organisaties zich momenteel op twee fronten tegelijk moeten aanpassen: het beveiligen van AI-gegenereerde code én het beveiligen van de AI-tools zelf. “Er ontstaat een compleet nieuwe categorie”, schrijft hij, waarin deze werelden samenkomen.
Van ‘shift left’ naar AI-gedreven security
De afgelopen jaren was ‘shift left’ het dominante paradigma in applicatiebeveiliging: kwetsbaarheden zo vroeg mogelijk in de ontwikkelcyclus detecteren. Maar dat model loopt volgens Berthoty tegen fundamentele grenzen aan.
“De bottleneck zit niet in het vinden van kwetsbaarheden, maar in het oplossen ervan”, stelt hij. Bovendien kunnen traditionele tools geen rekening houden met de specifieke context van een organisatie, zoals architectuurkeuzes of gebruikte frameworks.
Daar komt bij dat AI-gedreven ontwikkelprocessen simpelweg te snel gaan voor bestaande securityworkflows. Waar traditionele tools feedback geven nadat code is geschreven, hebben AI-agents die informatie al nodig vóórdat ze beginnen met genereren.
Volgens Berthoty leidt dit tot frictie: security wordt een rem op ontwikkelteams in plaats van een geïntegreerd onderdeel van het proces. “Tools zijn gebouwd voor mensen, niet voor AI”, is de kern van zijn analyse.
Security verschuift naar de voorkant
Een nieuwe benadering draait om het voeden van AI-agents met context: beveiligingsrichtlijnen, architectuurprincipes en kennis over het applicatielandschap. In plaats van achteraf te controleren, wordt security daarmee een integraal onderdeel van het ontwikkelproces. Berthoty beschrijft dit als een fundamentele verschuiving: van detectie naar preventie. “AI Code Security biedt agents de juiste context om direct veilige code te genereren”, schrijft hij.
Centraal daarin staat een zogenoemde ‘context graph’: een model waarin informatie over code, architectuur, dreigingen en bedrijfsdoelstellingen samenkomt. AI-tools gebruiken deze context om zowel kwetsbaarheden te identificeren als oplossingen voor te stellen die aansluiten bij de specifieke situatie van een organisatie.
Dat maakt volgens Berthoty een einde aan een bekend probleem: generieke adviezen die niet toepasbaar zijn in de praktijk.
Nieuwe generatie securitytools
De opkomst van AI Code Security gaat gepaard met een reeks nieuwe technologieën. Volgens Latio bestaat de nieuwe categorie uit meerdere componenten, waaronder AI-gedreven threat modeling, geavanceerde code-analyse en automatische penetratietests.
Belangrijk verschil met traditionele tools is dat deze oplossingen niet alleen kwetsbaarheden signaleren, maar ook actief bijdragen aan het oplossen ervan. AI-agents kunnen bijvoorbeeld automatisch patches voorstellen of zelfs implementeren. “Het doel is niet om meer bevindingen te genereren, maar om risico daadwerkelijk te reduceren”, aldus Berthoty.
Ook de interactie met ontwikkelaars verandert. In plaats van statische rapportages verschuift de interface naar interactieve omgevingen, waarin developers direct met securitytools communiceren.
Governance wordt cruciaal
Voor IT- en securitymanagers ligt de grootste uitdaging volgens Latio niet alleen in technologie, maar in governance. De adoptie van AI in softwareontwikkeling wordt vaak top-down gestimuleerd, terwijl securityteams verantwoordelijk blijven voor risico’s. “Securityteams hebben governance nodig om AI veilig te kunnen adopteren”, stelt Berthoty echter.
Dat betekent onder meer het vastleggen van coding standards, het beheren van AI-tools op developer endpoints en het afdwingen van beleid via centrale controles. Zonder deze maatregelen dreigt wildgroei aan tools en werkwijzen, met alle risico’s van dien.
Praktische implicaties voor organisaties
Voor de praktijk betekent dit dat organisaties hun securityaanpak moeten herzien. Het simpelweg uitbreiden van bestaande scanprocessen is niet voldoende.
Latio ziet dat veel teams al experimenteren met onderdelen van de nieuwe aanpak. Denk aan het opbouwen van centrale kennisbanken met securityrichtlijnen of het integreren van threat modeling in ontwikkelprocessen.
Volgens Berthoty ligt de sleutel in het combineren van deze elementen tot een samenhangend geheel. Alleen dan kan AI daadwerkelijk bijdragen aan zowel snelheid als veiligheid.
Meer code, meer risico
De urgentie is groot. AI maakt het mogelijk om in korte tijd enorme hoeveelheden code te produceren. Zelfs als AI minder fouten maakt dan menselijke developers, kan het absolute aantal kwetsbaarheden alsnog toenemen door de schaal.
Die paradox maakt duidelijk waarom een nieuwe aanpak noodzakelijk is, meent hij.
Berthoty schetst een toekomst waarin AI Code Security uitgroeit tot een miljardenmarkt. De partijen die erin slagen context, analyse en governance te combineren in één platform, zullen volgens hem de nieuwe standaard zetten in applicatiebeveiliging.
Voor organisaties betekent dat één ding: security moet meebewegen met AI — niet als controle achteraf, maar als integraal onderdeel van het ontwikkelproces.
