So führen Sie ein Security-Review des Codes durch, den Ihr KI-Coding-Agent schreibt

KI-Coding-Agenten sind schnell, und diese Geschwindigkeit ist ein zweischneidiges Schwert. Sie erzeugen bereitwillig in Minuten ein funktionierendes Feature — und ebenso bereitwillig bauen sie eine SQL-Abfrage per String-Verkettung, loggen ein Geheimnis oder überspringen eine Autorisierungsprüfung. Der Code läuft, die Tests bestehen, und die Schwachstelle geht live. Ein Security-Review ist nicht optional, wenn ein Agent das Tippen übernimmt; es ist der Teil, für den Sie weiterhin verantwortlich sind.

Hier ist ein praktischer, werkzeugunabhängiger Workflow zur Überprüfung von KI-generiertem Code, bevor er in die Produktion gelangt.

Wissen, wonach man sucht

Die meisten realen Schwachstellen gruppieren sich in einer Handvoll Muster. Wenn Sie (oder ein Tool) die Agenten-Ausgabe prüfen, achten Sie zuerst auf diese:

• Injection — SQL-, Shell- oder Template-Eingaben, die durch String-Verkettung statt mit parametrisierten Abfragen aufgebaut werden.
• Cross-Site-Scripting (XSS) — Benutzereingaben, die ohne Escaping in HTML gerendert werden.
• Fehlerhafte Authentifizierung/Autorisierung — Endpunkte, die prüfen, wer Sie sind, aber nicht, ob Sie berechtigt sind; fehlende Eigentumsprüfungen bei Datensätzen.
• Unsicherer Umgang mit Daten — Geheimnisse im Code, Zugangsdaten in Logs, sensible Daten in Fehlermeldungen.
• Verwundbare Abhängigkeiten — ein vom Agenten hinzugefügtes Paket mit bekannten CVEs.

Diese decken sich weitgehend mit den OWASP Top 10 und sind genau die Kategorien, nach denen laut Anthropic sein automatisiertes Security-Review sucht. Diese kurze Liste im Kopf zu behalten macht das manuelle Review deutlich wirksamer.

Lassen Sie den Agenten sich selbst prüfen — in einem frischen Kontext

Dasselbe Modell, das den Code geschrieben hat, kann ihn prüfen, aber nicht im selben Atemzug. Ein Agent, der gerade 20 Runden damit verbracht hat, ein Feature zum Laufen zu bringen, ist darauf gepolt, es zu verteidigen. Starten Sie eine neue Sitzung und geben Sie ihm eine einzige Aufgabe: die Schwachstellen zu finden.

Ein Prompt, der gut funktioniert:

Review the diff on this branch for security vulnerabilities only.
For each finding, give me: the file and line, the vulnerability class
(e.g. SQL injection), a concrete exploit scenario, and the fix.
If you find nothing, say so — do not invent issues.

Die Klausel „concrete exploit scenario" ist der wichtige Teil. Sie zwingt das Modell zu beweisen, dass das Problem real ist, statt vage Standardfloskeln wie „consider validating input" aufzuzählen.

Greifen Sie zu den integrierten Werkzeugen

Wenn Sie Claude Code verwenden, gibt es einen dedizierten Befehl /security-review, der Ihre Änderungen auf gängige Schwachstellenmuster analysiert und, nach Ihrer Freigabe, die Korrekturen direkt anwendet. Er ist in den kostenpflichtigen Plänen Pro und Max sowie auf nutzungsabhängigen API-Konten verfügbar.

Für kontinuierliche Abdeckung veröffentlicht Anthropic außerdem eine quelloffene GitHub Action, die bei jedem Pull Request läuft und Inline-Kommentare genau an den Zeilen postet, die ihr Sorgen bereiten. Sie in ein Repository einzubinden sieht ungefähr so aus:

# .github/workflows/security.yml
name: Security Review
on: [pull_request]
jobs:
  review:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: anthropics/claude-code-security-review@main
        with:
          claude-api-key: ${{ secrets.ANTHROPIC_API_KEY }}

Jetzt erhält jeder PR — egal ob von einem Menschen oder einem Agenten geöffnet — einen Sicherheitsdurchlauf, bevor jemand auf Merge klickt. Cursor, Copilot und andere Assistenten bieten vergleichbare Review-Integrationen; das Prinzip ist unabhängig vom Werkzeug dasselbe.

Überspringen Sie nicht die deterministischen Prüfungen

KI-Review ist eine starke Ergänzung, kein Ersatz für die langweilige Werkzeugkette, die niemals müde wird:

• Dependency-Scanning — npm audit, pip-audit oder Dependabot erwischen bekannte verwundbare Pakete, die ein LLM nicht am Namen erkennt.
• Secret-Scanning — Werkzeuge wie gitleaks oder GitHubs Push-Schutz verhindern, dass ein geleakter Schlüssel überhaupt jemals in der Historie landet.
• Statische Analyse (SAST) — Linter und Werkzeuge wie Semgrep setzen Regeln konsistent über die gesamte Codebasis durch.

Setzen Sie die KI ein, um über Logik und Kontext zu argumentieren — „Kann ein authentifizierter Benutzer hier die Datensätze eines anderen Benutzers lesen?" — und nutzen Sie deterministische Scanner für das Mechanische, per Muster Erfassbare. Sie decken die blinden Flecken des jeweils anderen ab.

Ein konkretes Beispiel

Angenommen, Ihr Agent generiert diesen Endpunkt:

@app.get("/invoices/{invoice_id}")
def get_invoice(invoice_id: str, user=Depends(current_user)):
    return db.query(f"SELECT * FROM invoices WHERE id = '{invoice_id}'")

Ein Sicherheitsdurchlauf sollte zwei Probleme melden: Die Abfrage ist eine wartende SQL-Injection (interpoliertes invoice_id), und es gibt keine Prüfung, ob die Rechnung tatsächlich user gehört — jedes eingeloggte Konto kann durch Erraten von IDs jede Rechnung lesen. Die Korrektur ist eine parametrisierte Abfrage plus ein Eigentumsfilter:

@app.get("/invoices/{invoice_id}")
def get_invoice(invoice_id: str, user=Depends(current_user)):
    return db.query(
        "SELECT * FROM invoices WHERE id = %s AND owner_id = %s",
        [invoice_id, user.id],
    )

Die Injection ist die Art von Sache, die ein Scanner erwischt. Die fehlende Autorisierungsprüfung ist die Art von Sache, die jemanden erfordert — oder einen KI-Reviewer mit dem richtigen Prompt —, der versteht, wofür der Code da ist. Das ist die Trennung, die man im Kopf behalten sollte.

Das Fazit

Behandeln Sie jeden Diff, den Ihr Agent produziert, als nicht vertrauenswürdig, bis er geprüft wurde — nach demselben Maßstab, den Sie beim ersten Pull Request eines neuen Teammitglieds anlegen würden. Kombinieren Sie ein KI-Review im frischen Kontext, eine automatisierte PR-Prüfung und deterministische Scanner, und Sie erhalten den größten Teil der Geschwindigkeit KI-gestützter Entwicklung, ohne ihre schlimmsten Angewohnheiten zu erben.