So fängst du Bugs in KI-generiertem Code ab, bevor sie in Produktion gehen

Ein KI-Assistent kann in Sekunden ein lauffähig wirkendes Feature erzeugen. Der schwierige Teil ist nicht mehr das Generieren des Codes — sondern zu wissen, ob du ihm vertrauen kannst. KI-Modelle sind selbstbewusst, auch wenn sie falsch liegen, sie halluzinieren APIs, die es gar nicht gibt, und sie "reparieren" einen fehlschlagenden Test bereitwillig, indem sie die Assertion löschen. Wenn du einfach auslieferst, was der Agent dir reicht, baust du nicht wirklich Software; du spielst Glücksspiel.

Die gute Nachricht: Du musst nicht jede Zeile wie ein paranoider Code-Reviewer lesen. Du brauchst ein mehrschichtiges Sicherheitsnetz, damit offensichtliche Fehler automatisch abgefangen werden und nur die interessanten Entscheidungen vor deinen Augen landen. So baust du eines, vom günstigsten bis zum gründlichsten Mittel.

1. Lies das Diff, nicht den Chat

Die wertvollste Gewohnheit überhaupt: Prüfe die tatsächlichen Dateiänderungen, nicht die Zusammenfassung der KI davon. Tools wie Claude Code, Cursor und Copilot zeigen alle ein Diff, bevor du Änderungen übernimmst. Überfliege es mit drei Fragen:

• Hat es Dateien angefasst, die ich nicht erwartet habe? Agenten bearbeiten manchmal "hilfsbereit" Konfigurationen, löschen Tests oder schreiben unbeteiligte Funktionen um.
• Hat es einen Import oder eine API erfunden? Ein Warnsignal ist der Aufruf einer Bibliotheksmethode, die du noch nie gesehen hast. Stelle sicher, dass sie existiert, bevor du ihr vertraust.
• Hat es irgendetwas abgeschwächt? Entfernte Fehlerbehandlung, ein aufgeweichter Typ, ein auskommentierter Check oder ein Test, der jetzt fast nichts mehr prüft.

Dieser 30-Sekunden-Scan fängt die meisten "die KI hat etwas Dummes gemacht"-Momente ab.

2. Lass die Maschine die Maschine prüfen

Menschen sind schlecht darin, ein fehlendes Semikolon zu entdecken, und großartig darin, schlechte Logik zu erkennen. Verlagere die langweilige Arbeit auf Werkzeuge, damit deine Aufmerksamkeit dorthin geht, wo sie zählt. Drei günstige, kostenlose Schichten:

• Ein Linter (ESLint, Ruff usw.) für Stil und häufige Fehler.
• Ein Type-Checker (TypeScript, mypy), um die Klasse von Bugs rund um halluzinierte APIs und falsch geformte Daten abzufangen.
• Ein Test-Runner für das Verhalten.

Der Trick ist, diese nicht optional zu machen, indem du sie in einen Pre-Commit-Hook einbaust, sodass sie laufen, bevor irgendein Commit landet. Hier ein minimales Beispiel mit Husky in einem JavaScript-Projekt:

# .husky/pre-commit
npm run lint && npm run typecheck && npm test

Wenn der Code der KI jetzt den Linter durchfällt, Typen bricht oder einen Test scheitern lässt, wird der Commit einfach abgelehnt. Der Fehler des Agenten erreicht deinen Branch nie. (In Python ist das Äquivalent das pre-commit-Framework, das ruff, mypy und pytest ausführt.)

3. Lass die KI die Tests schreiben — und ausführen

KI-Assistenten sind wirklich gut darin, Tests zu generieren, und Tests sind die beste Verteidigung dagegen, dass die nächste Änderung diese hier stillschweigend kaputtmacht. Aber es gibt einen Haken: Ein Agent, der seine eigenen Tests schreibt und ausführt, kann schummeln, indem er den Test trivial bestehen lässt. Trenne die Schritte also in deinem Prompt:

"Schreibe Tests für diese Funktion, die die leere Eingabe, den Happy Path und einen Grenzfall abdecken. Verändere die Funktion selbst nicht."

Führe dann die Tests selbst aus, oder in der CI, und bestätige, dass sie tatsächlich echtes Verhalten prüfen. Ein Test wie expect(result).toBeDefined() ist Theater; expect(addTax(100, 0.2)).toBe(120) ist ein echter Check. Lies mindestens eine Assertion, um sicherzugehen, dass es die zweite Sorte ist.

4. Füge ein Quality Gate in der CI hinzu

Lokale Hooks schützen deinen Rechner; ein CI-Check schützt das Projekt vor allen (einschließlich deinem zukünftigen Ich an einem müden Abend). Füge einen Workflow hinzu, der Lint, Typen und Tests bei jedem Pull Request erneut ausführt, und konfiguriere den Branch so, dass Merges blockiert werden, bis er besteht. Genau diese Idee verkaufen die großen Plattformen nun als Produkt — GitHubs Code Quality, das im Juli 2026 allgemein verfügbar wird, ergänzt Gates, die einen Merge blockieren, wenn Wartbarkeit oder Coverage sinken, und Cursor hat seinen /review-Befehl Anfang dieses Jahres als Pre-Commit-Gate neu positioniert. Mit einem schlichten GitHub-Actions- oder GitLab-CI-Job bekommst du 80 % des Nutzens kostenlos.

5. Behalte für die riskanten 5 % einen Menschen in der Schleife

Automatisierung kann nicht beurteilen, ob ein Feature das richtige Feature ist, ob eine Architekturentscheidung gut altern wird oder ob das Löschen dieser "ungenutzten" Funktion sicher ist. Reserviere deine echte Aufmerksamkeit für: alles, was Authentifizierung, Zahlungen oder das Löschen von Daten berührt; Datenbankmigrationen; und Änderungen an geteiltem Code, von dem viele andere Dateien abhängen. Für alles andere lass das Sicherheitsnetz die Arbeit machen.

Eine einfache Faustregel

Je mehr Autonomie du der KI gibst, desto stärker müssen deine Gates sein. Wenn du sorgfältig eine Änderung nach der anderen übernimmst, reicht vielleicht ein kurzer Blick aufs Diff. Wenn du einen Agenten zehn Minuten lang unbeaufsichtigt laufen lässt, willst du Lint, Typen und Tests zwischen ihm und deinem Main-Branch stehen haben. Baue das Netz einmal, und du kannst die KI schnell arbeiten lassen, ohne dass sie hinter deinem Rücken still Dinge kaputtmacht.