KI-generierten Code prüfen: Das Review endet nicht bei Tests
Alle Tests sind grün, der Pull Request sieht sauber aus - und trotzdem ist der Code fachlich falsch, unsicher oder später kaum wartbar. KI-generierten Code prüfen bedeutet deshalb weit mehr, als einen Build abzuwarten und auf ein grünes Häkchen zu hoffen.
Unsere Position ist klar: Qualitätssicherung in der KI-gestützten Softwareentwicklung braucht weiterhin menschliche Prüfung. Ein Code-Review mit künstlicher Intelligenz kann Hinweise liefern, Muster erkennen und Review-Zeit sparen. Die Verantwortung für Architektur, Risiko und Freigabe bleibt beim Team.
Der Pull Request sieht sauber aus – und ist trotzdem eine schlechte Änderung
Ein grüner Build zeigt nur, dass sich das System in den geprüften Fällen wie erwartet verhält. Stell Dir vor, ein KI-Agent ergänzt einen neuen Endpunkt. Die Tests decken den Standardfall ab. Gleichzeitig akzeptiert der Endpunkt jede angemeldete Person, verwendet eine neue Bibliothek mit fragwürdiger Herkunft und fängt alle Fehler mit einer allgemeinen Ausnahme ab.
Der Code funktioniert. Zumindest solange niemand die falsche Rolle verwendet, die Bibliothek aktualisiert werden muss oder jemand herausfinden will, warum die Anwendung plötzlich wichtige Informationen verschluckt. Genau an dieser Stelle beginnt ein belastbares Review.
Welche Prüfungen braucht KI-generierter Code nach den Tests?
KI-generierten Code prüfen heißt, fachliche Korrektheit, Systemkontext, Sicherheit, Wartbarkeit und Abhängigkeiten gemeinsam zu bewerten. Tests prüfen beobachtbares Verhalten. Ein Review prüft zusätzlich, ob die gewählte Lösung zum Problem und zur bestehenden Software passt.
Nach den Tests sollten mindestens diese Fragen beantwortet werden:
- Erfüllt der Code die fachliche Anforderung einschließlich der Randfälle?
- Passt die Änderung zur bestehenden Architektur und zu den definierten Schnittstellen?
- Sind Datenflüsse, Berechtigungen und externe Abhängigkeiten nachvollziehbar?
- Bleibt der Code verständlich, testbar und veränderbar?
- Ist klar, wer die Änderung geprüft und freigegeben hat?
Das ist der Unterschied zwischen Qualitätskontrolle bei KI-Code und einer reinen Funktionsprüfung. Die Prüfungen ergänzen sich. Ein Test kann eine falsche Geschäftsregel bestätigen, wenn die Erwartung im Test bereits falsch formuliert wurde. Google nennt deshalb neben Funktionalität auch Design, Komplexität, Tests, Benennung, Dokumentation und Systemkontext als zentrale Review-Themen (google.github.io).
Wie erkennt man AI Slop und typische Risiken?
AI Slop in der Softwareentwicklung erkennst Du an plausibel aussehendem Code, der lokal ordentlich wirkt und systemische Fragen offenlässt. Der Begriff beschreibt hier Code, der schnell erzeugt wurde, oberflächlich funktioniert und langfristig mehr Prüf- oder Aufräumarbeit erzeugt, als er eingespart hat.
Typische Anzeichen sind doppelte Abstraktionen, unnötige Hilfsklassen, tote Konfigurationsoptionen und Kommentare, die eine komplizierte Lösung nachträglich vernünftig aussehen lassen sollen. Auch ungewöhnlich große Änderungen für eine kleine Anforderung sind ein Warnsignal. KI erzeugt gern den Eindruck von Vollständigkeit. Das Ergebnis enthält dann neben der eigentlichen Funktion noch neue Schichten, zusätzliche Schnittstellen und ein kleines Museum potenzieller Erweiterungen.
Besonders kritisch sind erfundene oder veraltete APIs, unklare Bibliotheken und Tests, die nur den erzeugten Code nacherzählen. Ein Test, der dieselbe falsche Annahme wie die Implementierung enthält, liefert keine unabhängige Kontrolle.
Warnsignal: Wenn niemand im Team den Code ohne Unterstützung durch den ursprünglichen Prompt erklären kann, ist die menschliche Kontrolle bereits zu schwach. Dann wurde Code übernommen, aber kein technisches Verständnis aufgebaut.
Wie prüft man KI-Code auf Sicherheit?
KI-Code auf Sicherheit prüfen heißt, Eingaben, Datenflüsse, Berechtigungen und Vertrauensgrenzen manuell nachzuvollziehen und mit automatisierten Werkzeugen gegenzuprüfen. Der Review beginnt an den Stellen, an denen Daten in das System gelangen oder privilegierte Aktionen auslösen.
Prüfe Eingabevalidierung, Authentifizierung, Autorisierung, Dateizugriffe, Datenbankabfragen, Fehlerbehandlung und Protokollierung. Bei kryptografischen Funktionen zählt die konkrete Implementierung: Ein Kommentar wie „secure encryption“ schützt keine Daten. Ebenso wenig ersetzt ein vermeintlich sicherer Standardwert die Prüfung von Schlüsseln, Rollen und Konfigurationen.
Abhängigkeiten verdienen eine eigene Prüfung. Existiert das vorgeschlagene Paket tatsächlich? Ist es die richtige Bibliothek? Gibt es eine bekannte Schwachstelle? OWASP warnt bei KI-gestützter Entwicklung ausdrücklich vor halluzinierten Paketnamen, veralteten Versionen, manipulierten Kontexten und Änderungen außerhalb des eigentlichen Auftrags (owasp.org).
Bei agentischen Werkzeugen kommt eine weitere Ebene hinzu: Issues, Pull-Request-Kommentare, README-Dateien oder Fehlermeldungen können Anweisungen enthalten, die ein Agent als Arbeitsauftrag interpretiert. Behandle externe Inhalte deshalb als nicht vertrauenswürdige Eingaben. Begrenze Dateizugriff und Netzwerkzugriff, prüfe jede unerwartete Änderung und achte besonders auf Änderungen an CI-Konfigurationen, Regeldateien und Deployment-Skripten.
Wie prüft man KI-Code auf Wartbarkeit?
KI-Code auf Wartbarkeit prüfen heißt, die nächste Änderung gedanklich durchzuspielen. Frage Dich, ob ein anderes Teammitglied die betroffene Stelle findet, ihre Annahmen versteht und eine Anpassung durchführen kann, ohne zuerst den gesamten generierten Kontext zu rekonstruieren.
Achte auf klare Verantwortlichkeiten, nachvollziehbare Namen, geringe Kopplung und angemessene Abstraktionen. KI-Code wirkt häufig flexibel, weil er viele Fälle vorbereiten soll. In der Praxis entstehen dadurch zusätzliche Schichten, die niemand braucht und deren Verhalten schwer zu testen ist.
Prüfe außerdem, ob Fehler sichtbar werden. Werden Ausnahmen sinnvoll behandelt oder einfach verschluckt? Sind Logs aussagekräftig? Bleiben Metriken und Traces erhalten? Gibt es Tests für das fachliche Verhalten oder nur für technische Details? Wartbarkeit umfasst auch die Fähigkeit, Fehler zu analysieren und Änderungen kontrolliert vorzunehmen.
Ein praktischer Test: Bitte eine zweite Person, die Änderung ohne den ursprünglichen Prompt zu erklären. Wenn die Erklärung bei jedem Abschnitt mit „Das macht die KI hier so“ beginnt, fehlt eine belastbare Begründung. Kommentare helfen bei Entscheidungen und Randbedingungen. Sie ersetzen keine verständliche Struktur.
Wie bleibt menschliche Verantwortung im KI-Code-Review gewahrt?
Menschliche Kontrolle in der Softwareentwicklung bleibt gewahrt, wenn eine benannte Person die technische und fachliche Freigabe übernimmt. Das gilt auch dann, wenn ein KI-Tool den Code geschrieben, getestet und bereits selbst bewertet hat.
Ein KI-Reviewer kann Risiken priorisieren und zusätzliche Perspektiven liefern. Er kennt jedoch weder automatisch die Geschäftsfolgen eines Fehlers noch die tatsächliche Risikotoleranz Deines Produkts. Die Entscheidung, ob eine Änderung fachlich korrekt, sicher genug und im jeweiligen Kontext vertretbar ist, gehört deshalb in menschliche Hände.
NIST beschreibt mit SP 800-218A seit 2024 zusätzliche sichere Entwicklungspraktiken für generative KI und ordnet sie in den Softwarelebenszyklus ein (nist.gov). Das passt zu einer einfachen Regel: Verantwortung wird im Prozess verankert – durch klare Freigaben, nachvollziehbare Änderungen und definierte Eskalationen.
Wo wir KI-Reviews begrenzen
Bei Authentifizierung, Zahlungslogik, Verschlüsselung, personenbezogenen Daten, Berechtigungsmodellen, Löschfunktionen, Infrastruktur und CI/CD-Konfiguration sollte ein KI-Review niemals die einzige Prüfung sein. In regulierten Branchen gelten zusätzlich die jeweiligen Vorgaben für Nachvollziehbarkeit, Vier-Augen-Prinzip und Risikodokumentation.
Unsere Empfehlung: Je höher der potenzielle Schaden, desto weniger Vertrauen bekommt ein automatischer Review-Kommentar als alleinige Entscheidungsgrundlage. Für eine kleine Darstellungskorrektur reicht ein schlanker Prozess. Für eine Berechtigungsänderung braucht es einen Menschen mit passendem Fachwissen.
Wie gut ist Dein Team auf KI-generierten Code vorbereitet?
KI-Tools verändern die Softwareentwicklung. Entscheidend ist, wie Du ihre Ergebnisse prüfst, Risiken minimierst und langfristige Qualität sicherstellst. Lass uns gemeinsam über Deine Herausforderungen und die passenden Lösungen sprechen.
Welche Best Practices gelten für KI-gestützte Code-Reviews?
Best Practices für KI-gestützte Code-Reviews verbinden kleine Änderungen, automatisierte Qualitätsgates und risikobasierte menschliche Prüfung. Der Prozess sollte die Geschwindigkeit der KI nutzen, ohne ihre Schwächen als Teamprozess zu übernehmen.
- Arbeite mit kleinen, klar abgegrenzten Änderungen. Ein kleiner Pull Request lässt sich fachlich und technisch besser prüfen. Große KI-generierte Codepakete erzeugen Review-Blindheit.
- Definiere Akzeptanzkriterien vor der Generierung. Beschreibe fachliches Verhalten, Randfälle, Sicherheitsanforderungen und betroffene Systemgrenzen.
- Nutze mehrere automatisierte Kontrollen. Dazu gehören Tests, Linter, Typprüfung, statische Analyse, Dependency-Scanning, Secret-Scanning und gegebenenfalls dynamische Sicherheitstests.
- Prüfe den Diff vollständig. Kontrolliere auch Lockfiles, Teständerungen, Konfigurationen, neue Dateien und scheinbar nebensächliche Formatänderungen.
- Dokumentiere Herkunft und Freigabe. Halte fest, welche Werkzeuge beteiligt waren, welche Prüfungen liefen und wer offene Risiken bewusst akzeptiert hat.
Ein Code-Review mit künstlicher Intelligenz ist besonders nützlich als zusätzliche Kontrollschicht. Lass das Tool nach Sicherheitslücken, fehlenden Randfällen, unklaren Abhängigkeiten und übermäßiger Komplexität suchen. Übernimm seine Ergebnisse anschließend in den normalen Review-Prozess. Ein automatischer Hinweis ist eine Prüfspur, kein Freifahrtschein.
Der wichtigste Qualitätsindikator bleibt die Veränderbarkeit des Systems. Wenn KI mehr Code erzeugt, als Dein Team sinnvoll lesen, testen und betreiben kann, sinkt die Qualitätssicherung trotz höherer Schreibgeschwindigkeit. Dann muss der Prozess kleiner werden: kleinere Aufgaben, kleinere Diffs und strengere Freigaben.
Qualitätssicherung in der KI-gestützten Softwareentwicklung umfasst Tests, statische Analyse, Sicherheitsprüfungen, Dependency-Checks und menschliche Reviews. Geprüft werden Funktionalität, Architektur, Sicherheit, Wartbarkeit und die Passung zur bestehenden Anwendung.
Ein Code-Review mit künstlicher Intelligenz erkennt Muster, schlägt mögliche Fehler vor und kann große Diffs vorsortieren. Ein menschliches Review bewertet zusätzlich fachliche Konsequenzen, Architekturentscheidungen und Risiken im konkreten Unternehmenskontext.
KI-Code auf Sicherheit prüfen bedeutet, Eingaben, Authentifizierung, Autorisierung, Datenflüsse, Secrets, kryptografische Funktionen und Abhängigkeiten zu kontrollieren. Ergänze das manuelle Review durch statische Analyse, Dependency-Scanning, Secret-Scanning und negative Tests.
KI-Code auf Wartbarkeit prüfen heißt, die nächste Änderung zu simulieren. Kontrolliere Verantwortlichkeiten, Kopplung, Abstraktionen, Fehlermeldungen, Dokumentation, Testbarkeit und die Frage, ob eine andere Person den Code ohne den ursprünglichen Prompt verstehen kann.
Die Qualitätskontrolle bei KI-Code hängt von Änderungsgröße, Systemkritikalität, Sicherheitsanforderungen und Codequalität ab. Kleine, klar begrenzte Änderungen bleiben überschaubar; große generierte Diffs, neue Abhängigkeiten und sicherheitskritische Logik erhöhen den Prüfaufwand deutlich.
KI-generierter Code lohnt sich bei klar abgegrenzten Aufgaben, wiederkehrenden Strukturen, Prototypen und unterstützenden Entwickleraufgaben. Für kritische Geschäftslogik lohnt sich der Einsatz nur, wenn Dein Team die Ergebnisse fachlich versteht, technisch prüfen und langfristig betreiben kann.