crackthe.net
Show in English Auf Deutsch anzeigen

Coding mit KI: sicher programmieren mit LLMs

KI-Assistenten beschleunigen das Programmieren – und schaffen neue Risiken: geleakte Secrets, unsicherer Code, erfundene Pakete. Hier nutzt du das Tempo, ohne dir Lücken einzuhandeln.

Sicherheits-Grundregel beim Coding mit KI: keine Passwörter, API-Keys oder sensiblen Daten in LLMs eingeben und KI-Code vor dem Einsatz prüfen.

LLMs helfen beim Erklären, Bugfixing und Refactoring – aber sie optimieren auf „sieht richtig aus“, nicht auf „ist sicher“. Drei Risiken zählen wirklich: Daten, die du nie hättest eingeben dürfen, Code mit Schwachstellen und erfundene Pakete, über die Angreifer Schadcode einschleusen.

In welcher Reihenfolge vorgehen?

Schütze zuerst, was du eingibst – prüfe dann, was zurückkommt:

Wer auch außerhalb des Codes mit Chatbots arbeitet, findet die Grundregeln unter Datenschutz bei KI-Tools .

Die drei Risiken im Detail

1. Secrets, die du nie hättest einfügen dürfen. Der häufigste Fehler ist banal: Man kopiert eine Konfigurationsdatei oder einen Stacktrace ins Chatfenster – inklusive API-Key, Verbindungsstring oder Token. Anders als ein versehentlicher Commit lässt sich das nicht zurücknehmen. Behandle jedes eingefügte Secret als kompromittiert und rotiere es.

2. Code, der funktioniert, aber nicht sicher ist. Modelle optimieren auf lauffähig, nicht auf sicher. Typische Muster: fehlende Eingabevalidierung, selbstgebaute Krypto, zu weite Berechtigungen, deaktivierte Zertifikatsprüfung, ungeprüfte Deserialisierung. Das fällt im Test nicht auf, weil der Code ja tut, was er soll.

3. Erfundene Pakete. Modelle schlagen gelegentlich Bibliotheken vor, die es nicht gibt. Angreifer registrieren genau diese Namen und veröffentlichen Schadcode darunter – ein Angriff, der ohne die Halluzination gar nicht möglich wäre. Prüfe deshalb jeden neuen Paketnamen im offiziellen Register auf Alter, Downloads und Repository, bevor du ihn installierst.

Die Arbeitsregeln

Jedes Mal, ohne Ausnahme

  • Vor dem Einfügen säubern: Keys, Tokens, echte Hostnamen und Kundendaten durch Platzhalter ersetzen.
  • Verstehen vor Ausführen: Was du nicht erklären kannst, gehört nicht in dein Projekt.
  • Pakete verifizieren, bevor du sie installierst – Name, Herausgeber, Repository.
  • Isoliert testen, nicht direkt gegen Produktivsysteme oder echte Daten.
  • Sicherheitskritisches nicht generieren lassen: Authentifizierung, Kryptografie und Zahlungslogik gehören zu geprüften Bibliotheken.
  • Secrets rotieren, falls doch eines im Chat gelandet ist.

Wer eigene Websites oder Shops betreibt, findet die passende Betriebssicht unter Website & Shop absichern – dort besonders Lieferketten-Risiken durch Erweiterungen .

Strukturiert vorgehen Neu hier? Folge dem geführten Lernpfad Security Levels – oder hak die wichtigsten Schritte mit der 15-Minuten-Checkliste ab.

Alle Beiträge