AI-SAST – Codeanalyse, die über Absicht schließt

Wiz beschreibt AI-SAST nicht als ein Modell, sondern als kontextbewusstes Multi-Engine-System. Tier 1: deterministisches Baseline-Scanning mit Signaturen — schnell, günstig, vor jedem Merge. Tier 2: kontinuierliches KI-Reasoning auf jedem Pull Request, das Anwendungsstruktur, Trust Boundaries und Datenflüsse versteht. Tier 3: gezieltes agentisches Pentesting nur für hochwertige Anwendungen. Kernthese: „Deep scanning everywhere doesn't scale“ — Frontier-Analyse ist teuer und punktuell, während sich Code stündlich ändert.

Der reifste Einsatz ist nicht das Finden, sondern das Aussortieren. Ein LLM-Filter hinter einem deterministischen Scanner senkt Fehlalarme konsistent über mehrere unabhängige Studien: QASecClaw 88,6 Prozent auf dem OWASP Benchmark bei 3,1 Prozent Recall-Verlust, „Sifting the Noise“ bis 93,3 Prozent auf realen CodeQL-Alerts, SAST-Genius rund 91 Prozent (225 auf 20 Findings). Genau hier liegt der wirtschaftliche Hebel, weil Alert Fatigue der häufigste Grund für gescheiterte SAST-Programme ist.

In Tier 2 baut das Modell erst ein Verständnis der Anwendung auf, formuliert Angriffshypothesen und prüft sie über Datei- und Funktionsgrenzen hinweg — „wie ein Sicherheitsforscher“. Der neuro-symbolische Ansatz IRIS (LLM inferiert Taint-Spezifikationen, CodeQL führt die Analyse aus) fand auf CWE-Bench-Java 55 statt 27 Schwachstellen gegenüber CodeQL allein und deckte vier zuvor unbekannte auf. Die kontextreiche Studie CORRECT zeigt: Repository-Kontext ist der entscheidende Hebel — genau deshalb schlagen Whole-Repo-Ansätze die reine Snippet-Klassifikation.

Das Finden selbst wird zur Commodity: Google Big Sleep meldete 2025 zwanzig reale Zero-Days und verhinderte erstmals aktiv einen Angriff (CVE-2025-6965). Die DARPA-AIxCC-Finalisten fanden im August 2025 vollautonom 86 Prozent der eingebauten Schwachstellen zu rund 152 Dollar pro Aufgabe. Wiz Atlas erreicht über 90 Prozent auf dem CyberGym-Benchmark und über 200 unbekannte Schwachstellen. 2026 fand sogar ein Open-Weight-Modell (Kimi K2.5) über einen synthetisierten Agenten-Harness zehn Zero-Days in Google Chrome.

Die großen Coding-Assistenten haben Security-Review eingebaut: Anthropics Claude Code Security Review (Open Source, MIT, diff-aware, filtert FP-anfällige Klassen aktiv), GitHub Copilot Code Review (über 60 Mio. Reviews, 71 Prozent mit umsetzbarem Feedback), OpenAI Codex Security (über 100.000 externe PRs pro Tag, bewusst Precision vor Recall), Cursor Bugbot (8 parallele Läufe plus Majority Voting gegen Nicht-Determinismus, 70+ Prozent Resolution). Alle dokumentieren ausdrücklich Halluzinationsrisiko und Review-Pflicht.

Neben den Incumbents (Checkmarx, Veracode Fix, Snyk Agent Fix mit 85 Prozent Secure-and-Functional-Rate, Sonar, GitLab Duo) ist eine eigene Klasse AI-nativer Werkzeuge entstanden: ZeroPath, Corgea, DryRun, Amplify, Almanax. Ein unabhängiger Pentester-Test (Joshua Rogers, 09/2025) bestätigt deren Stärke bei Logik- und Autorisierungsfehlern, misst aber weite Spannen: Corgea rund 80 Prozent Erkennung bei etwa 50 Prozent Fehlalarmen, andere lieferten überwiegend Fehlalarme. Herstellerbenchmarks (‚100 % Detection‘) gehören gegengeprüft.

LLM-Urteile schwanken zwischen Läufen, und zwar prinzipiell: Selbst bei Temperatur 0 sind Ausgaben nicht reproduzierbar, weil die Inferenz nicht batch-invariant ist (Thinking Machines: 80 verschiedene Ergebnisse aus 1.000 identischen Anfragen). Für ein Compliance-Gate heißt das: Die reproduzierbare Basis muss aus Tier 1 kommen; KI-Findings brauchen einen Audit-Trail und menschliche Stichproben, keine blinde Automatik. GitHub und GitLab schreiben genau das in ihre Nutzungsdoku.

Ein Modell, das Repository-Inhalte liest, verarbeitet Anweisungen aus Kommentaren, READMEs und Issues als Eingabe. Das ist ausnutzbar: Adversariale Kommentare täuschen LLM-Detektoren in über 90 Prozent der Fälle (ALIBI-Framework), schon Framing im Kontext unterdrückt bis zu 97 Prozent erkannter Schwachstellen. Reale Vorfälle reichen von CVE-2025-53773 (Copilot-RCE über Prompt Injection) bis zur RCE auf CodeRabbits Servern mit Schreibzugriff auf eine Million Repositories. NIST führt indirekte Prompt Injection als eigene Angriffsklasse.

Nicht jede Erfolgsmeldung hält der Prüfung stand. Auf wirklich ungesehenen Zero-Days (ZeroDayBench, portierte CVEs in fremde Repositories) scheitern selbst Frontier-Modelle noch am autonomen Finden und Patchen. Naive LLM-Klassifikation ohne Kontext liegt bei einer Balanced Accuracy von 0,50 bis 0,55 — kaum über dem Münzwurf. Und Benchmark-Kontamination bleibt ein Vorbehalt, auch wenn sie bei den realen Vuln-Benchmarks nicht der Haupttreiber ist. Deshalb gilt: KI ergänzt die Schichten, sie ersetzt sie nicht.