Lexikon

Was ist KI-generierter Code — und wie prüft man ihn?

KI-generierter Code ist Programmcode, den ein Sprachmodell erzeugt hat; er sieht wie handgeschriebener aus und muss wie fremder Code geprüft werden.

Zuletzt aktualisiert: 18. August 2026 · Baldux GmbH

Das Erkennungsproblem kommt zuerst. Anders als bei Texten gibt es für Code kein verlässliches Merkmal, an dem sich die Herkunft ablesen ließe — er folgt denselben Regeln, benutzt dieselben Bibliotheken und liest sich oft ordentlicher als das, was unter Termindruck von Hand entsteht. Wer wissen will, was in seiner Anwendung von einem Modell stammt, braucht deshalb eine Aufzeichnung aus dem Bauvorgang, keine nachträgliche Analyse.

Die Risiken sind gemessen worden. Veracode testete 2025 über 100 KI-Sprachmodelle; 45 % der erzeugten Code-Beispiele enthielten Schwachstellen aus den OWASP Top 10, bei Java waren es 72 %. Eine Stanford-Studie (Perry et al., ACM CCS 2023) fand außerdem, dass Entwickler mit KI-Assistent signifikant unsichereren Code schrieben — und ihn zugleich häufiger für sicher hielten. Im Stack Overflow Developer Survey 2025 misstrauten mehr Entwickler der Genauigkeit von KI-Werkzeugen (46 %) als ihr vertrauten (33 %).

Das Muster hinter diesen Zahlen ist immer dasselbe. Der gefährliche Fehler ist nicht der, der beim Übersetzen auffällt, sondern der, der funktioniert: eine Berechtigung, die eine Spur zu weit geöffnet ist; ein Feldname, den das Modell aus tausend ähnlichen Systemen kennt und der bei Ihnen etwas anderes enthält; ein Sonderfall, der stillschweigend wie der Normalfall behandelt wird. Im Test fällt nichts davon auf, weil der Normalfall stimmt.

Prüfen lässt sich das nur mit einer Instanz, die vom Erzeuger getrennt ist. Ein Code Review durch ein Modell ist dafür nützlich und reicht allein nicht: Ein System, das seine eigene Arbeit bewertet, hat beim Prüfen dieselben blinden Flecken wie beim Schreiben. Bei MCP Baldux gehen deshalb vier unabhängige Prüfrollen mit unterschiedlichen Fragen an dieselbe Stelle, die Sicherheitsrolle kann allein blockieren, und jede Runde bleibt in der Belegkette nachlesbar — auch der Fehlversuch.

Bleibt die Rechtefrage, die regelmäßig zuerst gestellt wird. Sie entscheidet sich am Vertrag, nicht am Werkzeug: Wer ohne Vertrag in einer fremden Plattform baut, hat deren Bedingungen. Bei MCP Baldux gehen die kundenspezifischen Bestandteile an den Kunden über und werden in dessen eigenes Verzeichnis übergeben; das Baldux-Framework darunter bleibt lizenziert. Nachzulesen ist die Aufteilung in AGB Ziffer 12 bis 17 und auf der Lizenzseite. Eine Rechtsberatung ist dieser Absatz nicht.

Häufige Fragen zu KI-generiertem Code und Code Review mit KI

Lässt sich KI-generierter Code erkennen?

Zuverlässig nicht. Code trägt keine Stilmerkmale, die eine Herkunft belegen würden, und Werkzeuge, die es behaupten, raten. Wer wissen will, welcher Teil einer Anwendung von einem Modell stammt, braucht ein Protokoll aus dem Bauvorgang — bei uns ist das die Belegkette.

Ist KI-generierter Code sicher?

Nicht von allein. Veracode fand 2025 in 45 % der von über 100 Modellen erzeugten Beispiele Schwachstellen aus den OWASP Top 10; bei Java lag die Quote bei 72 %. Sicherer wird solcher Code erst durch eine Prüfung, die vom erzeugenden Modell getrennt und Teil des Ablaufs ist.

Wie funktioniert Code Review durch KI — und reicht das?

Ein Modell liest die Änderung und meldet, was ihm auffällt. Als zusätzliche Sicht ist das wertvoll. Als einzige Instanz reicht es nicht: Es fehlen die zweite Perspektive und die Aufzeichnung darüber, was geprüft wurde und mit welchem Ergebnis.

Wem gehört KI-generierter Code?

Das regelt der Vertrag, nicht das Werkzeug. Bei MCP Baldux gehen die kundenspezifischen Bestandteile an Sie über und werden in Ihr eigenes GitHub übergeben; das Baldux-Framework darunter bleibt unser Eigentum und ist für genau diese Anwendung unbefristet lizenziert. Einzelheiten stehen in AGB Ziffer 12–17.

Wo der Begriff vorkommt

Quellen

Ihr Vorhaben — geprüft gebaut.

Schildern Sie in fünf Minuten, was Ihr Betrieb braucht. Die Engine macht daraus einen Plan, ein Mensch prüft ihn und meldet sich.

Managed ansehen

Kostenlos bis zur BeauftragungAntwort innerhalb von zwei Arbeitstagenservice@baldux.com