{"id":32829,"date":"2025-10-28T15:38:30","date_gmt":"2025-10-28T13:38:30","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=32829"},"modified":"2025-10-28T15:38:30","modified_gmt":"2025-10-28T13:38:30","slug":"vibe-coding-2025-risks","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/vibe-coding-2025-risks\/32829\/","title":{"rendered":"Die verborgenen Gefahren der KI-Codierung"},"content":{"rendered":"

Obwohl die Vorteile von KI-Assistenten am Arbeitsplatz umstritten bleiben<\/a>, bestehen in der Softwareentwicklung eher keine Zweifel. Dabei spielen LLMs viele Rollen \u2013 von der Umgestaltung und Dokumentation bis hin zum Erstellen ganzer Anwendungen. Zu den traditionellen Problemen der Informationssicherheit in der Entwicklung kommen jetzt jedoch die einzigartigen Schwachstellen von KI-Modellen hinzu. An dieser Schnittstelle tauchen fast w\u00f6chentlich neue Fehler und Probleme auf.<\/p>\n

Anf\u00e4lliger KI-generierter Code<\/h2>\n

Von LLM generierter Code kann Fehler oder Sicherheitsl\u00fccken enthalten. Schlie\u00dflich werden diese Modelle mit \u00f6ffentlich verf\u00fcgbaren Daten aus dem Internet trainiert \u2013 einschlie\u00dflich Tausenden von Beispielen f\u00fcr minderwertigen Code. Eine aktuelle Studie<\/a> von Veracode hat ergeben, dass f\u00fchrende KI-Modelle heute Code produzieren, der sich in 90\u00a0% der F\u00e4lle erfolgreich kompilieren l\u00e4sst. Vor weniger als zwei Jahren waren es weniger als 20\u00a0%. Die Sicherheit dieses Codes hat sich jedoch nicht verbessert \u2013 45\u00a0% enthalten immer noch klassische Schwachstellen aus der OWASP-Top-10-Liste<\/a>, mit geringen \u00c4nderungen in den letzten zwei Jahren. Die Studie umfasste \u00fcber hundert g\u00e4ngige LLMs und Codefragmente in Java, Python, C# und JavaScript. Unabh\u00e4ngig davon, ob das LLM f\u00fcr die \u201eCode-Vervollst\u00e4ndigung\u201c in Windsurf oder f\u00fcr die \u201eVibe-Codierung<\/a>\u201c in Loveable verwendet wird, muss die endg\u00fcltige Anwendung gr\u00fcndlichen Schwachstellentests unterzogen werden. In der Praxis kommt dies jedoch selten vor: Laut einer Wiz-Studie<\/a> weisen 20\u00a0% der Vibe-codierten Apps schwerwiegende Schwachstellen oder Konfigurationsfehler auf.<\/p>\n

Als Beispiel f\u00fcr solche Schwachstellen wird h\u00e4ufig die Dating-App Tea genannt, die nur f\u00fcr Frauen zug\u00e4nglich ist und nach zwei gro\u00dfen Datenlecks<\/a> in Verruf geraten ist. Diese App ist jedoch \u00e4lter als die Vibe-Codierung. Ob die KI schuld an Teas Schw\u00e4chen war, wird vor Gericht entschieden<\/a>. Im Fall des Startups Enrichlead war jedoch eindeutig die KI schuld. Der Gr\u00fcnder prahlte<\/a> in den sozialen Medien damit, dass der Code seiner Plattform zu 100\u00a0% von Cursor AI geschrieben sei und \u201enull handgeschriebenen Code\u201c enthalte. Nur wenige Tage nach seiner Ver\u00f6ffentlichung wurde festgestellt, dass der Code voller st\u00fcmperhafter Sicherheitsl\u00fccken war<\/a>, und es jedem erm\u00f6glichte, auf kostenpflichtige Funktionen zuzugreifen oder Daten zu \u00e4ndern. Das Projekt wurde beendet, nachdem es dem Gr\u00fcnder nicht gelungen war, den Code mit Cursor auf einen akzeptablen Sicherheitsstandard zu bringen. Er l\u00e4sst sich jedoch nicht beirren und hat seitdem neue Projekte auf der Grundlage von Vibe-Coding gestartet.<\/p>\n

H\u00e4ufige Schwachstellen in KI-generiertem Code<\/h2>\n

Obwohl es die KI-unterst\u00fctzte Programmierung erst seit ein oder zwei Jahren gibt, gibt es bereits gen\u00fcgend Daten, um die h\u00e4ufigsten Fehler<\/a> zu identifizieren. Typischerweise sind dies:<\/p>\n