Studie von Secure Code Warrior zeigt: KI-generierter Code weist durchschnittlich 15 Schwachstellen pro Codebasis auf

Der neue SCW AI Trust Index zeigt, dass Sicherheitsrisiken bei KI-generiertem Code nicht zufällig, sondern modell- und frameworkabhängig vorhersehbar sind. Dies liefert Sicherheitsverantwortlichen die Daten, um KI-gestützte Entwicklung sicher zu skalieren

‍SYDNEY/BOSTON/LONDON – 21. Juli 2026 – Secure Code Warrior, ein führender Anbieter für KI-Software-Governance und Sicherheitsschulungen für Entwickler, stellt heute den SCW AI Trust Index vor. Dabei handelt es sich um einen dynamischen Benchmark für die Sicherheit von KI-generiertem Code, der mit jedem neuen Modell wächst und Unternehmen dabei hilft, die durch KI-Code entstehenden Sicherheitsrisiken zu verstehen und zu steuern. Die auf einer gemeinsam mit der RMIT University, Australien, entwickelten und von Secure Code Warrior erweiterten Methodik basierende Studie liefert umfassende Benchmarks dazu, wie häufig führende LLMs unsicheren Code erzeugen – mit erheblichen Auswirkungen für jedes Unternehmen, das KI-gestützte Entwicklung skaliert.

Basierend auf der Auswertung von 1.760 vollständigen Codebasen, die von sechzehn führenden Modellen von OpenAI, Anthropic, Google, Alibaba und anderen generiert wurden, zeigen die Ergebnisse, dass KI-generierter Code durchschnittlich 15 bestätigte Schwachstellen pro Codebasis aufweist, von denen 4,3 als „schwerwiegend“ eingestuft werden.

Da Entwickler die Codegenerierung zunehmend an führende LLMs delegieren, ist es für Sicherheitsverantwortliche entscheidend zu verstehen, welche Risiken dabei übernommen werden und ob diese je nach Modell, Framework oder deren Zusammenspiel variieren. Der SCW AI Trust Index bietet eine empirische Messgröße für die Sicherheit von KI- generiertem Code und fungiert als lebendiger Benchmark, der sich mit dem Aufkommen neuer Modelle weiterentwickelt, statt nur eine Momentaufnahme zu liefern.

Ab heute können Unternehmen den SCW AI Trust Index nutzen, um Risiken in der KI-gesteuerten Softwareentwicklung zu verstehen und zu minimieren, indem sie:

• KI-Codierungsmodelle anhand realer Sicherheitsdaten vergleichen
• Wiederkehrende Schwachstellenmuster identifizieren
• Risiken von KI-generiertem Code mit empirischen Daten quantifizieren
  ‍

„Jedes von uns getestete KI-Modell hinterlässt ein vorhersehbares, wiederholbares Muster an Sicherheitslücken und Schwächen“, so Pieter Danhieux, Mitgründer und CEO von Secure Code Warrior. „Entwickler sind ebenfalls vorhersehbar: Sie werden ihr bevorzugtes Modell nicht wegen eines Sicherheits-Scores aufgeben. Der SCW AI Trust Index wurde gezielt entwickelt, um CISOs und Sicherheitsverantwortliche bei der Verwaltung der bereits genutzten Modelle zu unterstützen. Es gibt keinen eindeutigen ‚Gewinner‘, aber diese Daten liefern die entscheidenden Erkenntnisse, um KI-Tools wirklich sicher zu steuern, die inhärenten Sicherheitslücken zu berücksichtigen und die richtigen Leitplanken sowie Lernpfade für Entwickler in ein modernisiertes Sicherheitsprogramm zu integrieren. KI-generierter Code erfordert dieselbe Prüfung wie von Menschen geschriebener Code, und jetzt haben wir endlich die Daten, um genau zu wissen, wo wir suchen müssen.“

Die Forschung von Secure Code Warrior zeigt, dass das Sicherheitsrisiko von KI-generiertem Code nicht zufällig ist, sondern messbar, vorhersehbar und in konsistenten Mustern über KI-Modelle, Frameworks und Schwachstellentypen hinweg konzentriert auftritt. Zu den wichtigsten Ergebnissen gehören:

• KI-generierte Schwachstellen folgen vorhersehbaren Mustern – keine zufälligen Fehler
  
  • Über 1.760 KI-generierte Codebasen hinweg identifizierte Secure Code Warrior 86 eindeutige CWEs, wobei sich die häufigsten Schwächen auf Protokollierungsfehler, Injektionsschwachstellen, unsicheres Design und fehlerhafte Zugriffskontrollen konzentrierten. Die am weitesten verbreitete CWE war CWE-532: Einfügen sensibler Informationen in Protokolldateien, mit 8.543 True Positives. Diese wiederkehrenden Muster belegen, dass Sicherheitsrisiken durch KI messbar, wiederholbar und vorhersehbar sind.
• Jedes KI-Modell hat einen eigenen Sicherheits-Fingerabdruck
  
  • Über alle evaluierten Frameworks hinweg zeigten die Modelle konsistent wiederkehrende Schwachstellenmuster statt zufälliger Fehler. Der SCW AI Trust Index zeigt, dass jedes Modell eine wiederholbare Mischung aus OWASP-Schwachstellenkategorien erzeugt, was es Unternehmen ermöglicht, vorherzusehen, wo Sicherheitslücken am wahrscheinlichsten auftreten.
• Kein einzelnes KI-Modell erzeugt durchgehend den sichersten Code
  
  • Die Modellleistung variiert erheblich je nach verwendetem Framework. GPT-5.1 führt bei Java Enterprise API, Claude Sonnet 4.5 bei Java Spring, Claude Opus 4.8 bei Python Django, GPT-5.5 bei C# (.NET) und Claude Fable 5 bei C. Die Sicherheitsergebnisse hängen sowohl vom Modell als auch vom Entwicklungskontext ab.
• Sicherheitsergebnisse sind unabhängig von den Modellkosten
  
  • Die Untersuchung ergab keinen konsistenten Zusammenhang zwischen API-Kosten und sicherer Codierungsleistung. So erzielte GPT-5.1 einen der höchsten Trust-Index-Werte bei 5,60 $ pro Durchlauf, während deutlich teurere Modelle schwächere Sicherheitsergebnisse lieferten. Unternehmen sollten KI-Modelle anhand messbarer Sicherheitsleistung statt nach Preis bewerten.

Der SCW AI Trust Index erweitert die Mission von Secure Code Warrior, indem er Unternehmen hilft zu verstehen, wie sich KI-generierter Code verhält, wo Risiken entstehen und wie Entwickler von Anfang an sichereren Code schreiben können. Durch die Kombination von KI-Transparenz, Governance und adaptivem Lernen unterstützt Secure Code Warrior Unternehmen dabei, die KI-gestützte Softwareentwicklung sicher zu skalieren, ohne Kompromisse bei der Sicherheit einzugehen.
‍
Die vollständigen Forschungsergebnisse finden Sie unter: https://www.securecodewarrior.com/product/ai-trust-index

‍‍Über Secure Code Warrior
‍Secure Code Warrior ist ein führender Anbieter für KI-Software-Governance und Sicherheitsschulungen für Entwickler. Das Unternehmen ermöglicht es Firmen, die KI-gesteuerte Softwareentwicklung über den gesamten SDLC hinweg zu kontrollieren. Basierend auf jahrelanger Expertise in der Entwicklersicherheit bietet es KI-Transparenz, Richtliniendurchsetzung und gezielte Schulungen, um Schwachstellen zu vermeiden und die Softwarequalität vor der Produktion zu stärken.

Kontakt
‍Andrea Brusig
‍andrea.brusig@w2comm.com