KI-generierter Code: 434 Sicherheitslücken pro App, Google startet Gegenwehr

Laut SecurityWeek wurden in einer aktuellen Analyse 434 exploitable Sicherheitslücken in KI-generierten Anwendungen identifiziert, wobei Denial-of-Service, Autorisierungsfehler und exponierte Secrets zu den häufigsten Problemen zählen. Dark Reading bestätigt einen Schnitt von 15 Schwachstellen pro Codebase, wobei das verwendete Framework entscheidender ist als das eigentliche KI-Modell. Die Risiken konzentrieren sich auf Authentifizierung, Datenexposition und Kontrollfluss-Fehler.

Als Reaktion auf diese Befunde startete Google diese Woche zwei Initiativen: Das Unternehmen veröffentlichte Gemini 3.5 Flash Cyber, ein spezialisiertes Modell zur Erkennung, Validierung und Behebung von Schwachstellen in direkter Integration mit Entwicklungsworkflows. Gleichzeitig präsentierte Google eine kostengünstigere Alternative zu großen Security-Modellen. Parallel kündigte Cisco die Antares-Modellreihe an — Open-Weight-Varianten, die bekannte Vulnerabilities schneller und günstiger als etablierte Lösungen identifizieren sollen.

Für den deutschsprachigen Mittelstand und Unternehmenssektor entsteht daraus ein strukturelles Dilemma: Während KI-Code-Generatoren (Claude, ChatGPT, GitHub Copilot) Entwicklungsgeschwindigkeit erhöhen, erfordert die Absicherung dieser Outputs neue Prozesse. Besonders unter DSGVO und EU-AI-Act wird die Verantwortung für Sicherheit im generierten Code beim Entwickler oder Unternehmen liegen — nicht beim KI-Anbieter. Dark Reading weist zusätzlich auf hohe False-Positive-Raten bei LLM-basierten Scans hin, was AppSec-Teams mit zusätzlicher Analysework belastet.

Die Nachricht wird relevant für Teams, die KI-Pentesting und Red-Teaming von LLM-Apps etablieren: Spezialisierte Modelle wie Gemini Cyber könnten Teil einer Safety-Pipeline neben Input-Output-Validierung und Audit-Trails werden. Der Aufbau eigener Sicherheitsprotokolle für generierten Code wird zur technischen Grundpflicht.

Entscheidender Take-Away: Nicht die KI-Modelle selbst sind das Risiko, sondern deren Integration ohne Validierungsschicht. Teams sollten Code-Review-Prozesse neu kalibrieren und spezialisierte Scanning-Tools wie Gemini Cyber oder Cisco Antares in bestehende CI/CD-Pipelines einbauen — nicht als Ersatz für menschliche Reviews, sondern als Priorisierungshilfe.

Quellen

• SecurityWeek: Vibe-Coded Apps Riddled With Exploitable Security Flaws
• Dark Reading: Choose Wisely: AI-Generated Coding Risk Varies, A Lot
• The Verge: Google launches a cheaper alternative to large AI security models
• The Hacker News: Google Launches Gemini 3.5 Flash Cyber
• SecurityWeek: Cisco Launches Low-Cost AI Models for Source Code Security
• Dark Reading: Using LLMs to Find and Prioritize Vulnerabilities