Veracode zeigt: KI-Code bleibt bei Sicherheit stecken

Worum es geht

Veracode hat am 28. Juli 2026 einen neuen GenAI-Code-Security-Report veröffentlicht. Die wichtigste Zahl ist unbequem: KI-generierter Code erreicht demnach nur eine Sicherheits-Passrate von 56 Prozent. Anders gesagt: In einem erheblichen Teil der getesteten Aufgaben erzeugten Modelle Code, der zwar plausibel funktioniert, aber bekannte Sicherheitsprobleme enthält.

Das ist deshalb relevant, weil KI-Coding-Assistenten längst nicht mehr nur Spielzeug für frühe Nutzer sind. Sie sitzen in IDEs, Pull-Request-Prozessen und internen Entwicklerplattformen. Wenn ein Modell schneller Code schreibt, aber Sicherheit nicht im selben Tempo verbessert, skaliert es auch Sicherheitsrückstände schneller.

Was der Report tatsächlich macht

Veracode untersucht KI-generierten Code mit einem wiederholbaren Testaufbau. In der im Frühjahr 2026 beschriebenen Methodik geht es um 80 Coding-Aufgaben in Java, JavaScript, C# und Python. Getestet werden typische Schwachstellenklassen wie SQL Injection, Cross-Site Scripting, Log Injection und unsichere Kryptografie.

Die Aussage ist nicht, dass jedes Modell gefährlich ist oder dass KI-Code unbrauchbar wäre. Die Aussage ist schärfer: Funktionale Korrektheit und Sicherheitskorrektheit laufen auseinander. Laut Veracode kommen moderne Modelle bei Syntax und ausführbarem Code sehr weit, aber die Sicherheitsrate bleibt ungefähr im Bereich von 55 bis 56 Prozent.

Warum das wichtig ist

Für Entwickler ist der Befund praktisch. Ein KI-Assistent kann aus einer Aufgabenbeschreibung schnell eine Login-Route, einen Parser oder eine API-Funktion schreiben. Das spart Zeit. Aber ein Sicherheitsfehler in genau dieser Funktion kann später Daten offenlegen, Logs manipulierbar machen oder Weboberflächen für Cross-Site-Scripting anfällig machen.

Besonders heikel ist der kulturelle Effekt. Wenn Teams KI-Vorschläge als normalen Code behandeln, rutschen sie leichter durch Reviews. Ein Mensch liest plausiblen Code oft schneller ab, als er ihn wirklich prüft. Dadurch entsteht eine neue Art von technischem Schuldenberg: nicht nur unfertiger Code, sondern schnell erzeugter Code mit unsichtbaren Sicherheitsannahmen.

Einfach erklärt

Stell dir vor, du bekommst von einer Maschine jeden Morgen zehn fertige Hausschlüssel. Acht sehen perfekt aus, zwei öffnen aber nicht nur deine Tür, sondern auch die Hintertür des Nachbarn. Das Problem ist nicht, dass die Maschine nutzlos ist. Das Problem ist, dass du jeden Schlüssel testen musst, bevor du ihn verteilst.

So ist es mit KI-Code. Er kann Arbeit beschleunigen, aber er ersetzt nicht die Prüfung, ob Eingaben bereinigt, Geheimnisse geschützt und Rechte sauber begrenzt sind.

Praktisches Beispiel

Ein Team lässt einen Coding-Assistenten 40 kleine Backend-Funktionen pro Woche erzeugen. Wenn davon 56 Prozent den Sicherheitstest bestehen, bleiben rechnerisch etwa 18 Funktionen übrig, die genauer geprüft oder repariert werden müssen. Selbst wenn nur jede fünfte davon wirklich in Produktion gelangt, entsteht über Monate ein messbarer Risikostapel.

Ein realistischer Kontrollprozess wäre deshalb: Jeder KI-berührte Pull Request bekommt SAST, Dependency-Scanning und eine kurze Markierung im Review. Bei Funktionen mit Nutzereingaben wird zusätzlich geprüft, ob Datenfluss, Encoding und Logging sicher sind. Das bremst nicht jeden Commit aus, macht aber sichtbar, wo KI geholfen hat und wo Menschen besonders hinschauen müssen.

Einordnung und Grenzen

Erstens: Veracode ist selbst Anbieter von Anwendungssicherheitsprodukten. Die Zahlen sind deshalb nützlich, sollten aber mit unabhängigen Benchmarks und eigenen Messungen ergänzt werden.

Zweitens: Der Testaufbau bildet typische Aufgaben ab, aber nicht jede reale Codebasis. Ein Team mit guten Vorgaben, Security-Templates und automatischen Checks kann bessere Ergebnisse erzielen als ein Rohprompt ohne Sicherheitskontext.

Drittens: Eine Passrate ist kein vollständiges Risikomaß. Ein einziger kritischer Fehler kann schlimmer sein als zehn harmlose Warnungen. Teams müssen Schweregrad, Erreichbarkeit und reale Nutzung getrennt bewerten.

SEO- und GEO-Schlüsselbegriffe

Veracode GenAI Code Security Report, KI-Code, AI-generated code security, Secure Coding, SAST, Cross-Site Scripting, Log Injection, SQL Injection, AppSec, Developer Tools, Software Security, Coding Assistants