CodeMender

Programme bestehen aus Quellcode, also aus Text, den Menschen geschrieben haben. In diesem Text stecken fast immer Fehler. Manche davon sind gefährlich, weil Angreifer sie ausnutzen können, um an fremde Daten zu kommen. Solche gefährlichen Fehler nennt man Sicherheitslücken. CodeMender ist ein Programm der Google-Tochter DeepMind, das genau solche Lücken automatisch aufspüren und ausbessern soll. Es liest Code, schlägt eine korrigierte Version vor und begründet, warum diese Änderung das Problem behebt.

Warum Sicherheitslücken schneller entstehen, als Menschen sie schließen

Große Software-Projekte umfassen Millionen Zeilen Code. Der Linux-Kernel, das Herzstück vieler Server und Android-Handys, hat über 30 Millionen Zeilen. Kein Team kann das vollständig von Hand durchsehen. Gleichzeitig wächst der Bestand an Code jedes Jahr weiter.

Automatische Suchwerkzeuge finden heute schon sehr viele verdächtige Stellen. Das Problem liegt danach: Jemand muss jede Meldung prüfen und eine Korrektur schreiben. Dieser Schritt ist der Flaschenhals. Bei manchen Projekten liegen gemeldete Lücken monatelang unbearbeitet.

Genau hier setzt CodeMender an. Es soll nicht nur melden, sondern gleich einen fertigen Reparaturvorschlag liefern. Wenn das zuverlässig gelingt, verkürzt sich das Zeitfenster, in dem eine Lücke offen und ausnutzbar ist. Google hat nach eigenen Angaben in den ersten Monaten rund 70 solcher Korrekturen in bestehende Open-Source-Projekte eingebracht.

Vom Fehlerbericht zum geprüften Korrekturvorschlag

Im Kern steckt ein großes Sprachmodell aus der Gemini-Familie. Das ist ein KI-Modell, das mit riesigen Mengen Text und Quellcode trainiert wurde und dadurch Programmiersprachen beherrscht. CodeMender arbeitet aber nicht mit einer einzigen Frage-Antwort-Runde. Es ist ein sogenannter Agent: Es darf selbst Werkzeuge aufrufen, Zwischenergebnisse ansehen und mehrfach nachbessern.

Der Ablauf hat mehrere Stufen. Zuerst analysiert das System die Umgebung des Fehlers und sucht die eigentliche Ursache. Oft liegt die nämlich an einer ganz anderen Stelle als der Absturz. Dann schreibt es eine Korrektur. Danach lässt es die vorhandenen Tests des Projekts laufen, um zu prüfen, ob noch alles funktioniert.

Ein zweites Modell arbeitet als Kritiker. Es vergleicht alten und neuen Code und sucht nach Nebenwirkungen. Findet es welche, geht der Vorschlag zurück in die Überarbeitung. Erst wenn diese interne Prüfung besteht, sieht ein Mensch das Ergebnis. Diese letzte Freigabe durch Entwickler ist Pflicht, denn eine falsche Korrektur kann neue Lücken einbauen.

CodeMender im Vergleich zu Copilot und anderen Code-KIs

Direkt benutzen kann man CodeMender bisher nicht. Es ist kein Produkt zum Herunterladen, sondern ein Forschungssystem, das Google gezielt auf ausgewählte Open-Source-Projekte ansetzt. Open Source bedeutet, dass der Quellcode öffentlich einsehbar ist. Wer eine solche Software nutzt, profitiert also indirekt, ohne je mit dem System in Kontakt zu kommen.

Verwechseln sollte man CodeMender nicht mit Assistenten wie GitHub Copilot. Diese helfen beim Schreiben von neuem Code und schlagen beim Tippen Fortsetzungen vor. CodeMender geht umgekehrt vor: Es nimmt fertigen, oft jahrzehntealten Code und repariert ihn. Auch von reinen Suchwerkzeugen unterscheidet es sich, weil es die Lösung mitliefert.

In den Nachrichten taucht der Name meist im Zusammenhang mit einer größeren Debatte auf. KI macht das Finden von Sicherheitslücken für Angreifer einfacher. Systeme wie CodeMender sollen die Verteidigung im selben Tempo mitziehen. Ob das aufgeht, ist offen. Kritiker weisen darauf hin, dass automatisch erzeugte Korrekturen die Prüfer in Open-Source-Projekten überlasten könnten.