Vertrauen ist gut, Review ist besser

đ€ Das starke Argument
“KI-generierter Code durchlĂ€uft denselben Review-Prozess wie jeder andere Code.” Diesen Satz höre ich in fast jeder Diskussion ĂŒber die Risiken von Copilot, Cursor und Co. Er klingt ĂŒberzeugend, denn wer wĂŒrde schon Code ohne Review in Produktion bringen?
âïž Was daran stimmt
Die meisten Teams haben tatsÀchlich Review-Prozesse etabliert, und statische Analyse fÀngt offensichtliche Fehler zuverlÀssig ab. KI-generierter Code ist syntaktisch sauber, oft sogar sauberer als menschlicher. Die Werkzeuge produzieren funktionierenden Code - das ist ihr Versprechen, und sie halten es oft.
đ Wo es brĂŒchig wird
Veracode hat den Output von ĂŒber 100 LLMs untersucht und festgestellt, dass 45% des generierten Codes Schwachstellen aus den OWASP Top 10 enthĂ€lt. Bei Cross-Site-Scripting versagen die Modelle in 86% der FĂ€lle, und Java-Code erreicht eine Fehlerquote von ĂŒber 70%. Trotz aller Fortschritte bei der Codegenerierung hat sich die SicherheitsqualitĂ€t ĂŒber die Zeit nicht verbessert.
Das eigentliche Problem ist dabei nicht der einzelne fehlerhafte Baustein. Es ist die Menge. Inzwischen berichten 42% der Entwickelnden, dass mindestens die HĂ€lfte ihrer Codebasis KI-generiert ist. Gleichzeitig zeigen Studien der Georgetown University, dass Entwickelnde mit KI-UnterstĂŒtzung nachweislich unsichereren Code schreiben - nicht weil die Werkzeuge schlecht wĂ€ren, sondern weil das Vertrauen in den Output die Sorgfalt beim Review untergrĂ€bt. 81% haben Sicherheitsbedenken, und trotzdem nutzen alle die Werkzeuge. Tempo schlĂ€gt Vorsicht.
đĄ Die unbequeme Wahrheit
Wer KI-Coding-Tools einsetzt, spart Zeit bei der Erstellung und mĂŒsste sie eigentlich in Review investieren. In der Praxis geschieht das selten. Die Werkzeuge sind nicht das Problem - unser Umgang mit ihrem Output ist es. Wer das Code-Volumen vervielfacht, ohne die Review-KapazitĂ€t mitzuziehen, fĂ€hrt nicht schneller ans Ziel. Er schaltet in der Nacht bei höherem Tempo die Scheinwerfer aus.
đđ
- Veracode: GenAI Code Security Report 2025 https://www.veracode.com/resources/analyst-reports/2025-genai-code-security-report/
- Veracode Blog: AI-Generated Code Security Risks https://www.veracode.com/blog/ai-generated-code-security-risks/
- CSET Georgetown: Cybersecurity Risks of AI-Generated Code https://cset.georgetown.edu/publication/cybersecurity-risks-of-ai-generated-code/
- CrowdStrike: Hidden Vulnerabilities in AI-Coded Software https://www.crowdstrike.com/en-us/blog/crowdstrike-researchers-identify-hidden-vulnerabilities-ai-coded-software/
- Endor Labs: Most Common Security Vulnerabilities in AI-Generated Code https://www.endorlabs.com/learn/the-most-common-security-vulnerabilities-in-ai-generated-code
- OWASP Top 10 for LLM Applications 2025 https://owasp.org/www-project-top-10-for-large-language-model-applications/
- OWASP Top 10 for Agentic Applications 2026 https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/
- OWASP Agentic AI Threats and Mitigations v1.0 https://genai.owasp.org/resource/agentic-ai-threats-and-mitigations/