KI-Coding-Tools schreiben schnell funktionierenden Code. Funktionierend und sicher sind verschiedene Eigenschaften.
Was schiefgeht
KI-generierter Code scheitert meist an denselben Stellen: eine fehlende Autorisierungsprüfung an einem von vierzig Endpoints, Secrets, die in Konfigurationsdateien kopiert wurden, Nutzereingaben, die direkt in Queries oder Prompts landen, Abhängigkeiten, die niemand bewusst gewählt hat. Jedes davon ist leicht zu beheben, wenn man es gefunden hat. Das Problem: Niemand schaut hin, weil der Code funktioniert.
Warum Scanner nicht reichen
Scanner finden Muster. Sie wissen nicht, dass dieser Endpoint die Rechnung eines anderen Kunden zurückgibt oder dass dieser Export intern bleiben sollte. Wir prüfen von Hand, wo es zählt: Authentifizierung, Autorisierung, Datenflüsse, Zahlungen, alles, was personenbezogene Daten berührt. Findings werden danach gerankt, wie ausnutzbar sie sind, nicht danach, wie viele ein Tool ausgespuckt hat.
Funktionierend und sicher sind verschiedene Eigenschaften.
Was ihr bekommt, und wie schnell
Scope und Bedrohungsmodell im ersten Call, ein Tiefen-Audit mit asynchron gestellten Fragen, ein gerankter Report mit Reproduktionsschritten und einem Fix-Backlog, das euer Team abarbeiten kann, und ein Re-Check der kritischen Fixes. Tage, nicht Monate. Dazu ein Review-Workflow und Guardrails, damit dieselben Probleme nicht mit dem nächsten Sprint zurückkommen.