🔍 Was beobachte ich?

Ich sehe Pull-Requests, in denen jede Zeile aus einem Modell stammt – auch das Review darunter. Ein Agent generiert, ein zweiter prüft, ein dritter schreibt die Zusammenfassung. Wer freigibt, liest meist nur diese Zusammenfassung.

🎯 Was soll eigentlich erreicht werden?

Die Prüfung soll mit der Produktion Schritt halten. Wenn KI den Code-Ausstoß vervielfacht, wird das menschliche Review zum Engpass – und dieser Engpass ist real, nicht wegzuorganisieren. NIST SSDF verlangt ohnehin nur, dass geprüft wird, nicht dass ein Mensch prüft.

⚠️ Warum funktioniert das nicht?

Nicht, weil Menschen besser prüften. Wir überfliegen, wir winken durch, und ab der zwanzigsten Datei liest niemand mehr genau. Der Wert eines zweiten Blicks liegt nicht in seiner Schärfe, sondern darin, dass er sich anders irrt als der erste. Genau das geht verloren: Erzeugendes und prüfendes Modell teilen Trainingsdaten und damit blinde Flecken. Veracode misst über hundert Modelle hinweg in 44 Prozent der Aufgaben sicherheitsrelevante Fehler. Wer danach freigibt, widerspricht selten einem „keine Auffälligkeiten“. Diese Person ist kein Sicherheitsnetz mehr, sondern eine moralische Knautschzone: Sie fängt die Schuld auf, die das System produziert hat.

💡 Was funktioniert besser?

Nicht mehr Lesezeit fordern – die gibt es nicht. Sondern die Irrtümer entkoppeln: prüfen lässt man ein anderes Modell als das erzeugende, ohne dessen Kontext. Das Fundament bleibt der klassische, halbautomatische Unterbau – Typsysteme, deterministische Analyse, Tests, Fuzzing. Er irrt reproduzierbar statt kreativ. KI ersetzt ihn nicht, sie kommt obendrauf. Vollständig wird das nie; schon 1986 scheiterten unabhängig geschriebene Programmversionen weit häufiger gemeinsam als erwartet. Deshalb zählt vor allem das Schadensausmaß: kleine Änderungen, minimale Rechte, keine Zugangsdaten im Code. Ein übersehener Fehler kostet dann einen Hotfix – keine Meldung an die Aufsicht. Und die Verantwortung gehört dorthin, wo sie jemand tragen kann – zu denen, die Pipeline und Rechte entwerfen, nicht zu denen, die am Ende klicken.

📚🔍