Vibe Coding und Open Source: Neue Risiken in der Software-Lieferkette

Beim Vibe Coding entsteht Software im Dialog mit einer KI. Der Mensch beschreibt, die KI schreibt. Das funktioniert erstaunlich gut. Doch eine Entscheidung trifft die KI dabei meist ganz allein: welche Open-Source-Pakete in Ihr Projekt wandern. Genau hier entsteht ein neues Risiko. Vibe Coding und Open Source bilden zusammen eine Lieferkette, die niemand mehr kontrolliert.

Ein Open-Source-Paket ist fertiger Code von Dritten, den Ihre Software mitbenutzt. Das ist normal und sinnvoll. Kaum eine Anwendung kommt heute ohne aus. Aber bisher hat ein Entwickler entschieden, welches Paket ins Projekt kommt. Beim Vibe Coding entscheidet das Modell. Und das Modell prüft nicht, was es einbaut.

Wie KI-Agenten Pakete auswählen

Eine KI wählt Pakete nach Wahrscheinlichkeit aus, nicht nach Qualität. Sie schlägt vor, was in ihren Trainingsdaten häufig vorkam. Das klingt harmlos. Ist es aber nicht.

Die Trainingsdaten sind oft Jahre alt. Die KI kennt also den Zustand der Open-Source-Welt von gestern. Ob ein Paket heute noch gepflegt wird, weiß sie nicht. Ob der Betreuer das Projekt längst aufgegeben hat, auch nicht. Ob seit dem Training kritische Sicherheitslücken bekannt wurden, ebenso wenig.

Ein menschlicher Entwickler schaut vor der Auswahl auf ein paar Dinge. Wann war die letzte Version? Wie viele Menschen pflegen das Projekt? Gibt es offene Sicherheitsmeldungen? Passt die Lizenz? Diese Prüfung dauert wenige Minuten. Beim Vibe Coding entfällt sie komplett. Der Code läuft, der Prototyp steht, alle sind zufrieden. Was sich dabei an Abhängigkeiten angesammelt hat, sieht niemand.

Was ist eine Software-Lieferkette?

Der Begriff klingt nach Logistik, trifft es aber gut. Ihre Software besteht nicht nur aus eigenem Code. Sie besteht auch aus Dutzenden oder Hunderten fremden Paketen. Jedes Paket hat eigene Abhängigkeiten, die wieder eigene Abhängigkeiten haben. Diese Kette nennt man Software-Lieferkette.

Ein Angriff auf die Lieferkette zielt nicht auf Ihre Software direkt. Er zielt auf ein Paket, dem Ihre Software vertraut. Wird das Paket kompromittiert, sind alle Nutzer betroffen. Solche Angriffe nehmen seit Jahren zu. Vibe Coding vergrößert die Angriffsfläche, weil mehr Pakete ungeprüft ins Projekt kommen.

Die vier konkreten Risiken

Verwaiste Pakete

Viele Open-Source-Projekte werden von einer einzigen Person gepflegt. Hört diese Person auf, bleibt das Paket stehen. Sicherheitslücken werden nicht mehr geschlossen. Eine KI empfiehlt solche Pakete trotzdem, wenn sie früher populär waren. Ihr Projekt hängt dann an Code, um den sich niemand mehr kümmert.

Erfundene Paketnamen

KI-Modelle erfinden manchmal Paketnamen, die es gar nicht gibt. Fachleute nennen das Halluzination. Angreifer kennen dieses Muster. Sie registrieren die erfundenen Namen und hinterlegen Schadcode. Wer den KI-Vorschlag ungeprüft installiert, holt sich den Angreifer direkt ins Haus. Diese Masche hat bereits einen Namen: Slopsquatting.

Veraltete Versionen mit bekannten Lücken

Die KI schlägt gern Versionen vor, die sie aus dem Training kennt. Für viele dieser Versionen existieren dokumentierte Sicherheitslücken, sogenannte CVEs (öffentlich katalogisierte Schwachstellen). Angreifer scannen das Netz automatisiert nach genau diesen Versionen. Eine ungeprüfte Abhängigkeit ist damit ein bekanntes, dokumentiertes Einfallstor.

Lizenzprobleme

Open Source ist nicht gleich frei verwendbar. Manche Lizenzen verlangen, dass Sie eigenen Code offenlegen. Wer solche Pakete unbemerkt in kommerzielle Software einbaut, riskiert rechtlichen Ärger. Eine KI prüft Lizenzen nicht. Sie baut ein, was passt.

Besonders heikel wird das bei Übernahmen oder Investorengesprächen. Dort wird die Lizenzlage Ihrer Software regelmäßig geprüft. Ungeklärte Lizenzen drücken dann den Kaufpreis oder verzögern den Abschluss. Ein Problem, das mit fünf Minuten Prüfung vermeidbar gewesen wäre.

Was passiert, wenn Sie nichts tun?

Die Risiken bleiben unsichtbar, bis etwas passiert. Das ist das Tückische. Die Anwendung läuft, der Vertrieb ist zufrieden, das Thema wandert nach unten auf der Liste.

In der Zwischenzeit wächst die Zahl der ungeprüften Abhängigkeiten mit jedem KI-Feature. Aus zehn Paketen werden fünfzig. Irgendwann trifft eine Lücke ein Paket in Ihrer Kette. Dann geht es um Datenabfluss, Haftung und im schlimmsten Fall um eine Meldung nach DSGVO (Datenschutz-Grundverordnung). Die Kosten eines Vorfalls übersteigen die Kosten der Vorsorge um ein Vielfaches. Das ist bei technischen Schulden immer so: Ignorieren macht sie teurer.

Was Sie konkret tun können

Die gute Nachricht: Das Problem ist beherrschbar. Es braucht keine neue Abteilung, sondern ein paar feste Regeln.

Bestandsaufnahme machen

Der erste Schritt ist eine Inventur. Welche Pakete stecken in Ihrer Software? In welchen Versionen? Werkzeuge erstellen dafür eine sogenannte SBOM, eine Stückliste Ihrer Software. Ohne diese Liste diskutieren Sie über ein Risiko, das Sie nicht kennen.

Abhängigkeiten automatisch prüfen lassen

Moderne Prüfwerkzeuge gleichen Ihre Paketliste täglich mit Schwachstellen-Datenbanken ab. Taucht eine Sicherheitslücke auf, bekommen Sie eine Meldung. Das kostet wenig und läuft im Hintergrund. Für KI-generierten Code ist das Pflicht, nicht Kür.

Regeln für KI-generierten Code aufstellen

Kein Paket kommt ungeprüft ins Projekt, auch nicht auf KI-Vorschlag. Die Prüfung ist kurz: Existiert das Paket wirklich? Wird es aktiv gepflegt? Passt die Lizenz? Gibt es offene Sicherheitsmeldungen? Vier Fragen, wenige Minuten. Diese Minuten sind gut investiert.

Bestehende Projekte nachträglich prüfen

Viele Unternehmen haben bereits KI-generierte Anwendungen im Einsatz. Dort lohnt ein Sicherheits-Audit: eine systematische Prüfung von Code, Abhängigkeiten und Lizenzen. Danach wissen Sie, wo Sie stehen. Und was zuerst zu tun ist.

Fazit: Tempo behalten, Kontrolle zurückholen

Vibe Coding ist gekommen, um zu bleiben. Das Tempo ist ein echter Vorteil. Aber die Paketauswahl dürfen Sie nicht der KI überlassen. Open Source in der Lieferkette braucht dieselbe Sorgfalt wie eigener Code. Wer prüft, was hereinkommt, kann die Geschwindigkeit ohne schlaflose Nächte nutzen.

Sie haben KI-generierte Software im Einsatz und kennen Ihre Abhängigkeiten nicht? Wir verschaffen Ihnen den Überblick und übernehmen auf Wunsch die laufende Software-Wartung. Sprechen Sie uns an. Das Erstgespräch ist kostenlos.