Software bouwen met AI gaat sneller. Zo blijft het ook veilig.
Ontwikkelen met AI is geen risico op zich, werken zonder afspraken wel. Gebruik vaste en gecontroleerde tools, geef ze minimale rechten, houd sleutels en klantgegevens buiten de code en laat een mens elke wijziging nakijken en testen. Zo houd je de snelheid van AI zonder de grip te verliezen.
AI schrijft in een paar seconden code waar een ontwikkelaar vroeger een middag mee bezig was. Dat is winst, ook voor het mkb: maatwerk wordt sneller en betaalbaarder. Maar vorige week liet zien dat het gereedschap zelf ook een doelwit is. Ontwikkelen met AI is geen risico op zich. Ontwikkelen met AI zonder afspraken wel.
Wat er gebeurde
Ontwikkelaars schrijven code in een programma dat je kunt uitbreiden met extra functies, zoals een AI-hulp die meeschrijft. Die uitbreidingen download je via een soort app store. Daar stond korte tijd een besmette update van een populaire AI-programmeerhulp. Hij zag eruit als de echte. Wie automatische updates aan had, kreeg hem zonder iets te doen, en daarna probeerde hij een achterdeur naar de computer te openen. Het lek zat niet in de AI zelf, maar in de keten eromheen: de plek waar het gereedschap vandaan komt.
De vier risico's van bouwen met AI
Wie met AI software bouwt, of laat bouwen, heeft met vier risico's te maken. Geen van alle is nieuw, maar AI maakt ze groter omdat alles sneller gaat.
- Besmette tools en uitbreidingen. AI-hulpmiddelen krijgen veel rechten: ze lezen je code, voeren opdrachten uit en praten met andere systemen. Een besmette versie krijgt die rechten ook.
- Gelekte sleutels en wachtwoorden. Toegangscodes voor databases, betaalsystemen of de cloud staan soms in de code of in bestanden die de AI-hulp kan lezen. Dan kunnen ze meegaan naar plekken waar ze niet horen.
- Code die niemand meer leest. Als AI honderden regels in één keer schrijft, is de verleiding groot om op "accepteren" te klikken. Dan draait er software in productie die geen mens echt begrijpt.
- Verzonnen pakketten en functies. AI noemt soms een softwarepakket dat niet bestaat. Aanvallers maken die namen daarna zelf aan, met kwaadaardige code erin. Wie het advies blind volgt, haalt het binnen.
Wat je ertegen doet
De oplossing is niet om AI te verbieden. Dan gebruiken mensen het toch, maar buiten het zicht. De oplossing is afspraken die net zo serieus zijn als de snelheid die AI brengt.
- Vaste, gecontroleerde tools. Kies welke AI-hulpmiddelen en uitbreidingen gebruikt mogen worden, met zakelijke accounts. Zet automatische updates van uitbreidingen uit of laat ze eerst controleren.
- Minimale rechten. Een AI-hulp krijgt alleen toegang tot wat nodig is voor de taak. Geen toegang tot productie als het niet hoeft.
- Geheimen buiten de code. Sleutels en wachtwoorden horen in een aparte, beveiligde kluis, niet in de code en niet in bestanden die een AI-hulp leest. En geen klantgegevens in AI-hulpmiddelen.
- Elke wijziging nagekeken en getest. Een mens kijkt elke wijziging na, met extra aandacht voor de fouten die AI vaak maakt. Een automatische scan controleert op kwetsbaarheden en op pakketten die niet kloppen. Wat de scan niet haalt, gaat niet live.
Dat klinkt als extra werk. Het is vooral een andere verdeling: de AI doet het typwerk, mensen doen de controle. Zo houd je de snelheid en verlies je de grip niet.
Waar je op let als je met AI bouwt of laat bouwen
Bouw je zelf met AI, bijvoorbeeld een eigen hulpje in je kantoortools? Begin dan klein, met een proces zonder gevoelige gegevens, en leg vast welke tools mogen. Laat je bouwen door een softwarebedrijf, stel dan deze vragen:
- Welke AI-hulpmiddelen gebruiken jullie, en wie bepaalt dat?
- Kijkt een mens elke wijziging na voordat die live gaat?
- Hoe voorkomen jullie dat sleutels, wachtwoorden of klantgegevens in een AI-hulp terechtkomen?
- Welke scans draaien er op de code, en wat gebeurt er als een scan iets vindt?
- Wie onderhoudt de software na de oplevering, en hoe snel worden beveiligingsupdates gedaan?
Een goede partij heeft op elke vraag een concreet antwoord. Meer vragen voor die keuze vind je in een softwarebedrijf kiezen: tien vragen.
Hoe wij het doen
Wij ontwikkelen zelf met AI in de gereedschapskist. Dat maakt het bouwen sneller en niet losser. Bij maatwerk met AI gaat elke wijziging langs een scan op kwetsbaarheden en onveilige patronen, en een reviewer controleert specifiek op de fouten die AI maakt. We toetsen aan de OWASP-standaarden, gebruiken alleen zakelijke accounts en zetten geen klantgegevens in AI-hulpmiddelen.
We zijn ISO 27001-gecertificeerd. En na de oplevering houdt Care je applicatie veilig en actueel, met beveiligingsupdates en vaste reactietijden. Want software die snel gemaakt is, moet net zo lang en net zo veilig mee als software die langzaam gemaakt is.
Wil je weten hoe een veilige AI-agent er voor jouw proces uitziet? Lees dan ook een AI-agent veilig laten werken in je bedrijf, of vraag een gratis ProcesPreview aan.
Veelgestelde vragen
Is ontwikkelen met AI onveilig?
Niet op zich. Het risico zit in werken zonder afspraken: tools die niemand controleert, sleutels in de code en wijzigingen die niemand nakijkt. Met vaste tools, minimale rechten en een mens die elke wijziging controleert, is software die met AI gebouwd is net zo veilig als andere software.
Wat moet ik vragen aan een softwarebedrijf dat met AI bouwt?
Vraag welke AI-hulpmiddelen ze gebruiken, of een mens elke wijziging nakijkt, hoe ze sleutels en klantgegevens buiten AI-hulpmiddelen houden, welke scans er draaien en wie de software na de oplevering bijhoudt.
Is bijwerken genoeg als je een besmette uitbreiding had?
Vaak niet. Een besmette uitbreiding kan iets achterlaten op de computer dat blijft werken na een update. Laat de computer controleren en vervang de sleutels en wachtwoorden waar die computer toegang toe had.
Zie eerst wat AI voor jouw proces betekent.
Gratis, binnen 24 uur, als video in je mailbox.