Warum übersieht mein Sicherheitsscanner die Schwachstellenklasse, die mein KI-Assistent am häufigsten identifiziert?
Möglichkeit
Laut dem „2026 GenAI Code Security Report“ von Veracode verursachen KI-Codierungsassistenten je nach Programmiersprache bei 44 bis 72 Prozent der Generierungsaufgaben eine Sicherheitslücke. Bestehende SAST-Tools wurden für von Menschen geschriebene Codemuster entwickelt und optimiert; sie modellieren nicht die sich wiederholenden, modellspezifischen Schwachstellensignaturen, die ein bestimmtes KI-Tool erzeugt. Eine modellübergreifende Vergleichsstudie vom Juli 2026 auf arXiv ergab, dass verschiedene LLMs Risiken in vorhersehbaren, eindeutigen CWE-Klassen über völlig unabhängige Codebasen hinweg konzentrieren und dass aktuelle Scanner keine modellbezogenen Profile besitzen, um diese Regelmäßigkeit auszunutzen. Endorlabs bestätigte im Jahr 2026, dass Scanner mit festen Mustern Schwachstellen übersehen, die vom dateiübergreifenden Kontext abhängen – genau dort, wo KI-generierter Code am häufigsten versagt. Kein heute im Einsatz befindlicher Scanner für den Produktiveinsatz verfügt über Profile, die auf das Modell abgestimmt sind, das den Code generiert hat.
Warum es wichtig ist
Ein Scanner, der erkennt, welches Modell eine Datei erstellt hat, kann die Schwachstellenklasse vorhersagen und gezielt darauf abzielen, die dieses Modell zuverlässig überproportional häufig erzeugt, und so eine statistische Regelmäßigkeit in einen präzisen Erkennungsvorteil umwandeln.
Wie ich die Chance bewerte
Der Opportunity Score ist meine persönliche Einschätzung, keine Messung: wie stark es schmerzt, wie oft es auftritt und wie wenig heute existiert, um es zu lösen. Ein höherer Wert bedeutet, dass ich es für lohnender halte, es umzusetzen.
Wie viel Schmerz es verursacht, wenn es auftritt.
Wie oft Menschen tatsächlich darauf stoßen.
Wie wenig gute Werkzeuge dafür heute existieren.
Weitere lösungswürdige Probleme
Warum ist die Software, auf die wir am meisten angewiesen sind, am schlechtesten zu bedienen?
TechWarum gehören mir die Daten, die ich erzeuge, immer noch nicht?
TechWarum erhalte ich keinen Beleg, der beweist, dass meine Daten tatsächlich gelöscht wurden?
TechWarum kann ich nicht wissen, ob das, was gerade ausgeführt wird, dem entspricht, was meine SBOM deklariert hat?
TechWarum leitet mein KI-Agent europäische Gesundheitsdaten ohne Vorwarnung über einen US-Server weiter?
TechWarum bricht jede C2PA-Herkunftskette in dem Moment, in dem Inhalte auf soziale Medien treffen?