WAAP-Entwicklung: Von Web-App und API zum Web-, API- und KI-Schutz

Wenn ich mich eingehender mit unserer jährlichen Forschung befasse, komme ich zu mehreren unausweichlichen Schlussfolgerungen, die größtenteils von den Auswirkungen der KI auf, nun ja, alles bestimmt werden.

Eine dieser unausweichlichen Schlussfolgerungen ist, dass es für WAAP an der Zeit ist, von „Web-App- und API-Schutz“ zu „Web-, API- und KI-Schutz“ überzugehen.

Ich habe gesagt, was ich gesagt habe.

Es gibt viele Gründe für diese Aussage, der wichtigste davon ist, dass „Web“ und „App“ redundant sind. Während die Schätzungen je nach Methode und Zeitraum variieren können, gehen mehrere Branchenquellen davon aus, dass etwa 80 % des Internetverkehrs über HTTP-Protokolle (einschließlich HTTP und HTTPS) abgewickelt werden . So haben beispielsweise die Berichte des Cisco Visual Networking Index (VNI) und ähnliche Analysen von Content Delivery Networks wie Akamai durchweg gezeigt, dass der Webverkehr – der überwiegend über HTTP/HTTPS übertragen wird – den größten Teil des weltweiten Internetverkehrs ausmacht.

Aus Sicht der Bereitstellungs- und Sicherheitsdienste wird jeglicher über „HTTP/S“ bereitgestellter Datenverkehr im Allgemeinen als „App“ betrachtet. Ob der generierte Inhalt aus einer modernen oder traditionellen Application stammt, statisch oder dynamisch ist, ist für die Vielzahl der Dienste, die zu seiner Bereitstellung und Sicherung verwendet werden, weitgehend irrelevant. Sogar der Anteil von Infrastrukturdiensten wie DNS, die über HTTP/S bereitgestellt werden, wächst. Branchenschätzungen von Cloudflare gehen allgemein davon aus, dass heute etwa 10–20 % des DNS-Verkehrs über HTTPS (DoH) abgewickelt werden .

Lassen wir also das Wort „Web-App“ weg und sagen wir einfach „Web“.

Die API in WAAP bleibt wichtig. Der API-Verkehr hat zugenommen. Es ist nicht nötig, alle Quellen zu zitieren, die besagen, dass APIs heute dominieren. Aber falls Sie mich fragen: Es war bereits im Jahr 2021, als der RapidAPI State of APIs Report darauf hinwies, dass jeden Monat Milliarden von API-Aufrufen über eine Vielzahl von Diensten hinweg getätigt wurden. Im Durchschnitt eines Monats (der ungefähr 2,6 Millionen Sekunden umfasst) implizieren diese Zahlen einen Durchschnitt von etwa 400.000 API-Aufrufen pro Sekunde weltweit.

Und das war vor vier Jahren, bevor die generative KI auf der Bildfläche erschien. 

Das bringt uns zum eigentlichen Thema dieses Beitrags, nämlich der Integration von KI in WAAP.

Ich weiß, ich habe gerade gesagt, wir sollten uns nicht überschneiden, und angesichts der Tatsache, dass die Nutzung von KI fast überall über APIs erfolgt, erscheint es unnötig. Aber die Unterschiede in der Art und Weise, wie Bereitstellungs- und Sicherheitsdienste mit nicht-deterministischen, größtenteils textbasierten Inhalten umgehen müssen, sind wichtig genug, um darauf hingewiesen zu werden. Zumindest für jetzt.

Denn die wichtigsten Bereitstellungs- und Sicherheitsdienste, die zum Schutz der KI-Inferenz vorgesehen sind, sind, Moment mal, weitgehend dieselben wie die in WAAP enthaltenen.

Wir dürfen nicht außer Acht lassen, dass im vergangenen Jahr ein neuer Sicherheitsdienst auf den Markt gekommen ist: AI Gateway. KI-Gateways fügen KI-spezifischen Schutz für Eingabeaufforderungen und Antworten hinzu, die zur Behebung einiger der vorhandenen KI-spezifischen Schwachstellen erforderlich sind, wie z. B. Prompt-Injection, Jailbreaking und sogar Halluzinationen.