Veracode stellt erstmals seit 2025 einen nennenswerten Fortschritt bei der Sicherheit von KI-Code fest – die durchschnittliche Erfolgsquote liegt nun bei 62 %: Pressemeldung

• Studie vom Oktober 2026: „Claude Opus 5.5“ von Anthropic und „GPT-6-Sol“ von OpenAI führen gemeinsam mit einem Rekordwert von 73 % und übertreffen damit den bisherigen Höchstwert von 68 %

BURLINGTON, Mass.--(BUSINESS WIRE)--Veracode, der weltweit führende Anbieter im Bereich Anwendungsrisikomanagement, gab heute bekannt, dass die Gesamtsicherheit von KI-generiertem Code von 56 Prozent auf 62 Prozent gestiegen ist, während die Anzahl der Schwachstellen von 44 Prozent auf 38 Prozent gesunken ist – die bedeutendste Verbesserung seit Beginn der GenAI-Code-Sicherheitsbericht-Reihe im Juli2025. Claude Opus 5.5 von Anthropic und GPT-6-Sol von OpenAI führen gemeinsam mit 73 Prozent die Rangliste an und übertreffen damit den bisherigen Höchstwert von 68 Prozent, der im Juli 2026 von GPT-5.5 aufgestellt wurde.

• Medienanhang zur Meldung

„Wir analysieren seit mehr als einem Jahr Code, der von verschiedenen LLMs generiert wurde. Bislang konnten wir trotz durchweg nahezu perfekter Funktionalität keine deutliche Verbesserung der Sicherheit von KI-Code feststellen“, sagte Chris Wysopal, Mitbegründer und Chief Security Evangelist bei Veracode. „Dies ist das erste Mal seit Beginn unserer Studie, dass wir eine bedeutende Verbesserung der Sicherheit verzeichnen können. Zehn Modelle erreichen nun 60 Prozent – im Vergleich zu vier im letzten Bericht –, und der Gesamtdurchschnitt ist um sechs Prozentpunkte gestiegen. Da mittlerweile etwa die Hälfte des Codes von KI generiert wird, sind die heutigen Ergebnisse wirklich ermutigend.“

Claude Opus 5.5 und GPT-6-Sol führen das Feld an

Veracode testete 18 Modelle in vier Programmiersprachen (Python, C#, JavaScript, Java) und vier Kategorien der Common Weakness Enumeration (CWE)(CWE-89, CWE-327, CWE-80, CWE-117). Claude Opus 5.5 und GPT-6-Sol lagen mit jeweils 73 Prozent gleichauf und verdrängten damit GPT-5.5, das im Snapshot vom Sommer 2026 mit 68 Prozent noch an der Spitze stand. Sowohl Anthropic als auch OpenAI sind mit Modellen unter den ersten sieben vertreten. Im Juli lagen sechs von elf Modellen zwischen 50 und 53 Prozent; heute befinden sich nur noch zwei in diesem Bereich, während zehn die 60-Prozent-Marke überschreiten.Die Untergrenze hat sich jedoch nicht verschoben und liegt weiterhin bei 44–50 Prozent, was bedeutet, dass das Ausmaß der Sicherheitslücken nach wie vor von der Modellauswahl abhängt.

Rang

|

Modell

|

Sicherheits-Erfolgsquote

|

Syntax

---|---|---|---

1

|

Claude Opus 5.5 (Anthropic)

|

73%

|

100%

1

|

GPT-6-Sol (OpenAI)

|

73%

|

100%

3

|

Claude Sonnet 5.5 (Anthropic)

|

72%

|

99%

4

|

GPT-5.6-Sol (OpenAI)

|

70%

|

100%

5

|

Grok 4.7 (xAI)

|

69%

|

100%

6

|

Qwen 3.8-Max-0902 (Alibaba)

|

68%

|

100%

7

|

Claude Sonnet 5 (Anthropic)

|

66%

|

100%

7

|

GPT-6-Luna (OpenAI)

|

66%

|

100%

9

|

GLM 5.3 (Z-AI)

|

64%

|

100%

10

|

Gemini 3.8 Flash (Google)

|

62%

|

100%

11

|

Gemini 3.7 Flash (Google)

|

60%

|

100%

12

|

DeepSeek V4 Pro (DeepSeek)

|

59%

|

100%

13

|

Kimi K3 (Moonshot AI)

|

58%

|

100%

13

|

Grok 4.6 (xAI)

|

58%

|

100%

15

|

MiniMax M3

|

56%

|

100%

16

|

Qwen 3.7-Max (Alibaba)

|

50%

|

100%

16

|

Palmyra X5 (Writer)

|

50%

|

91%

17

|

Nova 2 Lite (Amazon)

|

44%

|

100%

Abb. 1: Veracode Code Security Report, Ausgabe Oktober 2026 – LLM-Rangliste nach Sicherheitsdurchlaufquote

Die Verbesserung hat einen Haken: XSS leistet den größten Beitrag

Die Schwachstellenkategorie CWE-80, Cross-Site-Scripting (XSS), war der Haupttreiber für den Gesamtzuwachs. Obwohl XSS zu den schwächeren Kategorien zählt, stieg der Wert auf 18 Prozent – im Gegensatz zu dem bescheidenen Anstieg, der in der Analyse vom Juli zu verzeichnen war. Dies stellt die größte Einzelveränderung im Datensatz dar. Unterdessen blieb Crypto (CWE-327)bei 87 Prozent, die Structured Query Language (SQL)-Injection (CWE-89) bei 84 Prozent und die Log-Injection (CWE-117) unverändert bei 13 Prozent. Der Grund dafür ist struktureller Natur: XSS ist die Schwachstelle, die sich am einfachsten durch Mustererkennung beheben lässt – und genau auf diese Weise verbessern sich LLMs. Log-Injection erfordert Datenfluss-Schlussfolgerungen über mehrere Funktionen hinweg, wobei LLMs weiterhin ins Stocken geraten.

Fortschritt hat seinen Preis

Die leistungsstärksten Modelle verursachen hohe Rechenkosten. Die Leistung korreliert zudem mit der Modellgröße: Große Modelle erreichen durchschnittlich55 Prozent gegenüber 51 Prozent bei kleinen Modellen, was die Erkenntnis aus dem letzten Jahr widerlegt, dass die Größe „im Wesentlichen keinen Einfluss“ auf die Sicherheit hatte.

„ Die Modelle, die den sichersten Code erzeugen, sind diejenigen, deren Betrieb in großem Maßstab am teuersten ist, und dennoch scheitern sie bei mehr als jeder vierten Sicherheitsaufgabe“, sagte Wysopal. „Die Lösung sollte niemals darin bestehen, das teuerste Modell zu verwenden und auf das Beste zu hoffen. Ein Modell der mittleren Leistungsklasse mit einer Erfolgsquote von 60 Prozent in Kombination mit einem Veracode-Scan ist genauer, kosteneffizienter und skalierbarer als ein Spitzenmodell mit 73 Prozent ohne Verifizierung.Unternehmen müssen nach einer Kombination aus Codierungsmodell, Sicherheitstests und Korrekturmaßnahmen suchen, um das bestmögliche Sicherheitsergebnis zu erzielen.“

Das Feld spaltet sich

• Allgemeine Modelle ziehen weiter an den Codierungsmodellen vorbei. Allgemeine Modelle erreichen bei Sicherheitsaufgaben durchschnittlich 54 Prozent gegenüber 51 Prozent bei auf Codierung spezialisierten Modellen – eine Lücke, die sich seit Juli von einem auf drei Punkte vergrößert hat.
• Fast vier von zehn KI-Codierungsaufgaben führen immer noch zu anfälligem Code. Die Rate der Schwachstellen sank von 44 auf 38 Prozent. Das ist zwar bedeutend, bedeutet aber immer noch, dass etwa vier von zehn Aufgaben ohne sicherheitsspezifische Anleitung zu anfälligem Code führten.
• Java steckt weiterhin fest. Java bleibt mit 31 Prozent der eklatante Ausreißer und hat sich gegenüber den 30 Prozent im Juli kaum verbessert. Der Abstand zwischen Java und den anderen drei Sprachen (Python mit 64 Prozent, C# mit 60 Prozent und JavaScript mit 57 Prozent) beträgt weiterhin 26–33 Prozentpunkte.

Sprache

|

Juli 2026

|

Oktober 2026

---|---|---

Python

|

~62%

|

64.22%

C#

|

~58%

|

59.55%

JavaScript

|

~57%

|

56.99%

Java

|

30%

|

31.00%

Abb. 2: Veracode Code Security Report, Ausgabe Oktober 2026, Sicherheitsdurchgangsquote nach Sprache

Fazit

Die Verbesserung ist real, heilt aber nur einen kleinen Teil einer größeren Wunde. Laut dem Veracode-Bericht State of Software Security2026haben mittlerweile 82 Prozent der Unternehmen Sicherheitsrückstände (Schwachstellen, die seit mehr als einem Jahr ungelöst sind). Darüber hinaus stammen 66 Prozent der gefährlichsten, langlebigsten Schwachstellen aus Code von Drittanbietern, deren Behebung durchschnittlich 358 Tage dauert.

„ Neuere LLMs produzieren mehr Code, der sowohl funktional als auch sicher ist, aber das bedeutet nicht, dass wir anfangen können, KI-generiertem Code blind zu vertrauen“, schloss Wysopal. „Die effektivste Strategie besteht nicht darin, dem teuersten Modell für marginale Gewinne hinterherzujagen, sondern darin, die KI-Codegenerierung mit einer kontinuierlichen, unabhängigen Sicherheitsüberprüfung zu kombinieren, die das aufspürt, was die Modelle übersehen. Dieser Ansatz deckt die gesamte Risikofläche ab, vom eigenen Code bis hin zu Abhängigkeiten von Drittanbietern.“

Über den GenAI-Code-Sicherheitsbericht

Diese Aktualisierung spiegelt eine im Oktober 2026 durchgeführte gründliche Analyse wider. Die vollständigen Daten und Details zu Sicherheitstrends finden Sie im GenAI-Code-Sicherheitsbericht vom Oktober 2026 auf der Veracode-Website.

Über Veracode

Veracode ist ein weltweit führender Anbieter von Anwendungsrisikomanagement für das KI-Zeitalter. Gestützt auf die Analyse von Billionen von Codezeilen und eine proprietäre, KI-gestützte Engine zur Fehlerbehebung genießen Unternehmen weltweit Vertrauen in die Veracode-Plattform, um sichere Software von der Code-Erstellung bis zur Bereitstellung in der Cloud zu entwickeln und zu warten. Tausende der weltweit führenden Entwicklungs- und Sicherheitsteams nutzen Veracode jeden Tag rund um die Uhr, um einen genauen und umsetzbaren Überblick über ausnutzbare Risiken zu erhalten, Schwachstellen in Echtzeit zu beheben und ihre Sicherheitslücke in großem Maßstab zu reduzieren. Veracode ist ein mehrfach preisgekröntes Unternehmen, das Lösungen zur Absicherung des gesamten Softwareentwicklungslebenszyklus anbietet, darunter Veracode Fix, statische Analyse, dynamische Analyse, Software-Composition-Analyse, Containersicherheit, Application Security Posture Management, Erkennung bösartiger Pakete, Paket-Firewall und Penetrationstests.

Weitere Informationen finden Sie unter www.veracode.com, im Veracode-Blog und auf LinkedIn und X.

Copyright © 2026 Veracode, Inc. Alle Rechte vorbehalten. Veracode ist eine eingetragene Marke von Veracode, Inc. in den Vereinigten Staaten und kann in bestimmten anderen Ländern registriert sein. Alle anderen Produktnamen, Marken oder Logos sind Eigentum ihrer jeweiligen Inhaber. Alle anderen hier genannten Marken sind Eigentum ihrer jeweiligen Inhaber.

Die Ausgangssprache, in der der Originaltext veröffentlicht wird, ist die offizielle und autorisierte Version. Übersetzungen werden zur besseren Verständigung mitgeliefert. Nur die Sprachversion, die im Original veröffentlicht wurde, ist rechtsgültig. Gleichen Sie deshalb Übersetzungen mit der originalen Sprachversion der Veröffentlichung ab.

Contacts

Presse- und Medienkontakt Katy Gwilliam Head of Global Communications, Veracode kgwilliam@veracode.com

+++ Dies ist eine Pressemeldung, übermittelt von Business Wire +++

businesswire/roj/news.de