KI: „Vibe Coding“ mit KI – Ein ernstes Risiko für die IT-Sicherheit

Artikel von Knees, Lina • 18 Std. • 5 Minuten Lesezeit

Spies working together in secret hideout, doing valuable data theft by hacking governmental websites with weak security. Espionage experts illegally gaining access to valuable information, model released, , property released, , 58817852.jpg, spies, secret, hideout, hideaway, data, theft, hacking, governmental, websites, security, espionage, experts, technology, access, information, illegally, hacker, internet, computer, virus, attack, cyber, network, web, software, password, online, crime, privacy, malware, digital, firewall, cybersecurity, hack, phishing, code, man, criminal, binary, monitors, programmer, illegal, exploit, encryption, darknet, pc, cybercrime, malicious, programming, scam RECORD DATE NOT STATED data-portal-copyright=

Künstliche Intelligenz kann jeden zum App-Entwickler machen. Das senkt die Einstiegshürden für Laien. Doch die KI-generierte Software hat teils gefährliche Sicherheitslücken.

Längst ist Künstliche Intelligenz (KI) zum Assistenten vieler Softwareentwickler geworden. KI-Programmierhilfen wie Github Copilot schreiben Codezeilen in Sekunden, beheben Fehler oder ergänzen den Code, noch bevor der Entwickler überhaupt an die nächste Zeile denken konnte.

Während der ersten Male kam mir das vor wie Gehirnerweiterung!“, sagt Carsten Kisslat. Seit 30 Jahren entwickelt er Videospiele. Programmierer sei er nicht, sagt er, aber kleinere Anwendungen schreibe er gelegentlich in der Programmiersprache Python. KI helfe ihm dabei.

Kisslat hat einiges Grundwissen im Programmieren, doch inzwischen können auch komplette Laien Software bauen. Sie müssen der KI dafür einfach nur ihre Idee beschreiben. Der Fachbegriff dafür ist „Vibe Coding“.

Doch wenn KI nicht nur assistiert, sondern ganze Programme schreibt, birgt das einige Risiken, warnen IT-Sicherheitsexperten. Fehlerhafte Programme können Daten ihrer Nutzer preisgeben und es Hackern besonders leicht machen, sie abzugreifen. Das Handelsblatt hat mit Entwicklern, „Vibe-Codern“ und IT-Sicherheitsexperten über Chancen und Probleme des Trends gesprochen.

Limango.deNur heute: Birkenstock bis -45%* reduziert

KI-Coder brauchen nur ein Zehntel der Zeit

„Früher, wenn ich programmiert habe, musste ich sieben Stunden recherchieren, bis ich das Programm zum Funktionieren gebracht hatte“, erinnert sich Kisslat. Programmieren von Grund auf zu lernen ist mühsam. Code verzeiht keine Fehler: Ein Vertipper kann das Programm stoppen, eine schlechte Struktur das Programm verlangsamen oder dazu führen, dass es sich aufhängt.

Mit dem KI-Assistenten ChatGPT, sagt Kisslat, sei er inzwischen deutlich produktiver: „Ich brauche mittlerweile nur noch ein Zehntel der Zeit.“ So erstellt er erste Videospielentwürfe, um sie zu testen oder um sie Kunden als Konzept zu präsentieren.

Sebastian Deutsch ist Gründer des Software-Start-ups 9elements. Er sieht Coding-Hilfe mit KI positiv: „Ich sage das schon sehr lange zu unseren Junior-Entwicklern: Bevor ihr mich fragt, fragt doch bitte ChatGPT.“

Solaranlagen VergleichDas kostet Solar + Speicher

Anzeige

Mehr Info

Coding mit KI ist bei vielen Entwicklern schon angekommen. Doch „Vibe Coding“ geht noch einen Schritt weiter. Den Begriff hat der Mitgründer des KI-Entwicklers OpenAI, Andrej Kaparthy, mit einem Post auf der Social-Media-Plattform X geprägt. Bei dieser neuen Art des Programmierens solle man sich den „Vibes“ hingeben, zu deutsch: dem Gefühl. Er rede einfach mit der KI und „vergesse, dass der Code existiert“, schreibt er. „Die angesagteste neue Programmiersprache ist Englisch.“

Peter Krück ist Vibe-Coder. Eigentlich hat er BWL studiert, nun entwickelt er Apps mit einem KI-Chatbot. Meist nutzt er „Claude“ des KI-Entwicklers Anthropic, beschreibt der KI seine Idee und lässt sich den gesamten Software-Aufbau generieren. Krück hat so schon eine eigene Jobplattform gebaut, eine Webseite für seinen Tischtennisverein und einen Gruppenchat mit integrierten KI-Funktionen.

Diese Art der Softwareentwicklung nennt sich „No Code“ – also: „kein Code“. Der Vibe-Coder erklärt, was er bauen will, die KI übernimmt den Rest. Selbst Code schreiben ist für eine funktionierende App nicht mehr nötig.

» Lesen Sie auch: Kaum bekanntes Start-up bringt Mega-Plattform Github an ihre Grenzen

Inzwischen gibt es dafür spezialisierte Plattformen. Zu den bekanntesten zählen Lovable und Cursor, auch sie funktionieren per Texteingabe. „Von der Idee zur App in Sekundenschnelle“, wirbt Lovable. Nutzer teilen auf der Plattform ihre Projekte: etwa einen KI-Finanztracker, einen Generator für Mini-Spiele aus Skizzen oder eine smarte To-do-Liste mit Fokus-Timer. „KI hat Programmierung viel verfügbarer gemacht“, sagt 9elements-Gründer Deutsch.

Und Vibe Coding ist für viele längst mehr als ein Hobby. Laut Lovable-Gründer Anton Osika berichten Investoren, dass sie in Anwendungen investieren, die über seine Plattform entstanden sind.

Langsam und voller Sicherheitslücken

Jedoch stoßen Nutzer von No-Code-Plattformen auch an Grenzen. Etwa als Peter Krück mit Lovable die Website seines Tischtennisvereins bauen wollte. „Sieht wirklich gut aus, was da rauskommt“, sagt er. Doch je mehr Funktionen er integrieren wollte, desto unzufriedener wurde er: „Wenn es um die Einlogg-Funktion und den Mitgliederbereich geht, klappt es irgendwie noch nicht so.“ Auch Kisslat sagt, dass je komplizierter eine Anwendung ist, desto eher komme die KI an ihre Grenzen.

Thomas Jansen ist promovierter Informatiker und arbeitet seit 35 Jahren in der Softwareentwicklung. Sein Unternehmen Crissy Field prüft Software auf Sicherheitslücken. „Ich glaube, der Hype verspricht mehr, als KI derzeit leisten kann“, sagt er.

Er hat KI-generierten Code analysiert: „Der Code läuft zwar, würde aber keinem Qualitätstest standhalten.“ Häufig sei er unstrukturiert und schwer nachzuvollziehen. Das wirke sich auf die Performance aus: schlechter Code kann sich aufhängen und Server überlasten, warnt Jansen.

Und noch schlimmer: Manche No-Code-Projekte enthielten gravierende Sicherheitslücken, die ungewollt den Zugriff auf Nutzerdaten ermöglichen. „Hinter gutem Code steckt mehr als nur das Aneinanderreihen von Funktionen“, sagt Jansen.

Ein Problem für die Cybersecurity

Solche Schwachstellen im Code können gefährlich werden. In Gesprächen mit Entwicklern und Vibe-Codern wird oft das Beispiel eines X-Nutzers namens Leo genannt. In seinen Posts beschreibt er zunächst begeistert seine neue App, die er mit einer No-Code-Plattform gebaut hat.

Doch die Euphorie verflog schnell. „Leute, ich werde angegriffen“, schreibt er. „Es passieren merkwürdige Dinge: Meine API-Schlüssel werden bis zum Limit ausgereizt, Leute umgehen das Abo, erstellen Quatsch in der Datenbank.“

Ein API-Schlüssel ist eine Programmschnittstelle, die auf andere Anwendungen zugreift. Wenn Hacker Zugriff auf diese Schlüssel erlangt haben, können sie den Dienst missbrauchen, indem sie extrem viele Anfragen senden und dadurch hohe Kosten für den App-Betreiber erzeugen.

Bereits im Mai 2023 untersuchte Mario Fritz vom CISPA Helmholtz-Zentrum für Informationssicherheit gemeinsam mit Forschern der Universität des Saarlandes mögliche Sicherheitslücken in KI-generiertem Code. Ein zentrales Problem sehen die Autoren in den Codebeispielen, mit denen die KI trainiert wurde. „Die Trainingsdaten für diese Modelle werden in der Regel aus dem Internet gesammelt (...) und enthalten wahrscheinlich Fehler und Sicherheitslücken“, heißt es in der Studie.

Die Forscher fanden typische Schwachstellen und bis heute sind viele davon ungelöst. Online machen Entwickler weiterhin auf typische KI-Code-Probleme aufmerksam. „Darüber hinaus könnte es auch potenziell die Möglichkeit eines Angreifers geben, die Code-Generierung zu manipulieren“, warnt Fritz.

Schließlich könnten feindselig eingestellte Anbieter von KI-Coding-Plattformen bewusst Schwachstellen in ihren generierten Code einbauen, etwa um über die gebauten Anwendungen Daten abzugreifen oder Schadsoftware einzuschleusen. Vibe-Coder und unerfahrene Entwickler könnten das nur schwer erkennen. „Es gibt riesige Gefahren aus einer Cybersecurity-Perspektive“, sagt Entwickler Sebastian Deutsch.

Nur für begrenzte Anwendung

Trotz aller Risiken sehen er und Thomas Jansen im KI-Coding eine Chance zur „Demokratisierung der Programmierung“. Wer die Tools nutzt und die eigene App veröffentlichen will, müsse jedoch genau prüfen, was die KI produziere. „Du kommst nicht umhin, minutiös nachzuvollziehen, was die KI da macht“, warnt Deutsch. Wenn die geschriebene Anwendung öffentlich zugänglich sein soll, müssen deren Erfinder Sicherheitsstandards einhalten.

Das hat auch juristische Gründe: Wenn eine App Datenlecks aufweist, haftet insbesondere derjenige, der die App entwickelt und veröffentlicht hat, erklärt IT-Rechtsexperte David Bomhard. Das gilt auch für Vibe-Coder. „KI soll Vorschläge machen und inspirieren, ersetzt aber momentan noch keine professionelle Qualitätsprüfung“, sagt Bomhard. Zur Softwareentwicklung gehöre schließlich auch, den Code auf rechtliche Anforderungen und Sicherheitsstandards zu prüfen.

Auch Carsten Kisslat und Peter Krück raten zur Vorsicht. Vibe Coding eigne sich nur für erste Entwürfe und private Projekte. So lasse sich erstmal testen, wo auch die Grenzen der KI liegen.