KI in der Schwachstellensuche: Warum der Workflow wichtiger ist als das Modell

KI-gestützte Schwachstellensuche ist kein „Plug-and-play“ — und genau das ist die eigentliche Botschaft eines aktuellen heise-Beitrags zu Code-Audits mit KI. Wer erwartet, ein Sprachmodell einzuschalten und danach eine sauber sortierte Schwachstellen-Liste zu bekommen, wird enttäuscht. Was den Unterschied macht, ist nicht das Modell, sondern der Workflow dahinter.

Die Aussage ist provokanter als sie klingt. In der Debatte um KI-Sicherheitstools dreht sich viel um Modellvergleiche: geschlossene gegen offene Modelle, neueste Version gegen Vorgänger, großes gegen kleines Kontextfenster. Das heise-Interview mit Security-Praktikern zeigt ein anderes Bild: Wer KI erfolgreich in Code-Audits einsetzt, investiert die Energie in die Prozessgestaltung — nicht in die Modellauswahl.

Das eigentliche Problem: Die Flut von Findings

Ein KI-Modell, das Code nach Schwachstellen durchsucht, findet Dinge. Viele Dinge. Zu viele, wenn der Workflow nicht stimmt. Das Ergebnis: Security-Analysten, die mehr Zeit damit verbringen, False Positives auszusortieren, als echte Lücken zu schließen. Der Nutzen verpufft — und die Skepsis gegenüber dem Werkzeug wächst.

Das ist kein Modell-Problem. Es ist ein Prozess-Problem.

Wer KI in Code-Audits einsetzen will, muss vorab klären:

• Welche Art von Schwachstellen soll gesucht werden? (SQL-Injection? Authentifizierungsfehler? Unsichere Deserialisierung? Unsachgemäße Eingabevalidierung?)
• Wie werden Findings priorisiert — nach Schweregrad, nach Codebereich, nach Ausnutzbarkeit?
• Wer validiert die KI-Ausgabe, und nach welchen Kriterien?

Ohne Antworten auf diese Fragen produziert auch das beste Modell nur Rauschen.

Prompt-Engineering als Kernkompetenz

Die entscheidende Fertigkeit ist nicht, das richtige Modell zu wählen, sondern das richtige Modell richtig zu befragen. Präzise, kontextreiche Prompts liefern präzise Ergebnisse. Vage Anfragen liefern vage Antworten — und vage Antworten sind in Code-Audits wertlos.

Das klingt trivial, ist in der Praxis aber anspruchsvoll. Ein strukturierter Audit-Workflow mit KI definiert vorab:

• Den Scope (welcher Codeabschnitt, welche Komponente, welcher Angriffsvektor steht im Fokus)
• Den erwarteten Output-Typ (konkrete Codezeilen, Schweregrad-Einschätzung, Exploitability-Kommentar)
• Eine Nachfrage-Schleife, die unklare Findings weiter qualifiziert, statt sie offen stehen zu lassen

Wer diesen Rahmen nicht setzt, lässt das Modell im Dunkeln stochern — und bekommt entsprechend diffuse Ergebnisse.

Was das für Unternehmen bedeutet

Aus unserer Sicht ist das eine nüchterne, aber hilfreiche Einordnung für alle, die überlegen, ob sie KI-gestützte Schwachstellensuche einführen wollen: Die API-Anbindung eines Modells ist der einfachste Teil. Die eigentliche Arbeit liegt im Aufbau eines strukturierten Workflows, der die Stärken des Modells nutzt und seine Schwächen — vor allem die Tendenz zum Over-Reporting — kompensiert.

KI ersetzt in Code-Audits keinen erfahrenen Security-Analysten. Sie beschleunigt die Suche erheblich, wenn jemand da ist, der die Ergebnisse bewerten kann. Ohne diese Kompetenz im Hintergrund erzeugt KI nur einen neuen Engpass: die manuelle Verifikation eines langen Findings-Katalogs, der überwiegend aus False Positives besteht.

Wer über den Einsatz von KI im Sicherheits-Review nachdenkt, sollte die Frage nicht mit „Welches Modell?“ beginnen, sondern mit „Wer validiert die Ausgabe — und nach welchem Prozess?“

Was Sie jetzt prüfen können

Falls Sie KI-gestützte Code-Reviews evaluieren oder bereits einsetzen: Testen Sie Ihren Workflow an einem kleinen, bekannten Codebereich, dessen Schwachstellen Sie bereits kennen — einem kontrollierten Referenztest. Prüfen Sie, wie viele der echten Findings das Modell tatsächlich liefert, und wie hoch der False-Positive-Anteil ist. Dieser Test zeigt Ihnen mehr über den Reifegrad Ihres Workflows als jeder Modellvergleich.

Quellen: heise Security — „Drei Fragen und Antworten: Wie KI wirklich bei der Schwachstellensuche hilft“ (https://www.heise.de/news/Drei-Fragen-und-Antworten-Wie-KI-wirklich-bei-der-Schwachstellensuche-hilft-11377461.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag)