Im Mittelpunkt der Auswertung von Xint standen vier Fragen: Welche Schwachstellen treten in KI-generiertem Code besonders häufig auf, welche davon sind am schwerwiegendsten, welchen Einfluss hat die Größe einer Anwendung, und ob sich KI bei der Erzeugung sichereren Codes verbessert hat.
Am häufigsten fehlten Schutzmechanismen gegen Ratenbegrenzung und Denial-of-Service. Ressourcenerschöpfung beziehungsweise DoS machten 93 der insgesamt 434 Befunde aus. Dahinter folgten Autorisierungsfehler und unsichere direkte Objektreferenzen mit 88 Fällen. Dabei erhalten Nutzer Zugriff auf Daten, die außerhalb ihrer Berechtigungen liegen. An dritter Stelle lagen laut Xint Fehler bei Zugriffsgrenzen, Pfadmanipulationen und SSRF mit 54 Befunden.
Nach Einschätzung von Xint entstehen solche Probleme vor allem dann, wenn Entwickler die KI nur nach Funktionen fragen. Der Bericht warnt, die Auswirkungen lägen nicht in erster Linie beim Datendiebstahl, sondern im realen Betrieb bei ausufernden Serverkosten oder Servern, die ein Angreifer zu Fall bringen könne. Xint empfiehlt deshalb, KI-Code nicht nur darauf zu prüfen, ob er kompiliert, sondern auch darauf, wie er sich zur Laufzeit verhält und welche Ressourcen er verbraucht.
Bei den Befunden mit kritischer Schwere lag die Offenlegung von Geheimnissen vorn. Xint zählte 23 kritische Funde; am häufigsten waren mit 11 Fällen hartkodierte oder voreingestellte Geheimnisse. Hinzu kamen sechs Fälle von Remote Code Execution über einen Debug-Modus. Xint rät dazu, in KI-erzeugtem Code gezielt nach eingebetteten Geheimnissen wie API-Schlüsseln oder personenbezogenen Informationen zu suchen.
Auch die Größe der Anwendung spielte in der Untersuchung eine Rolle. Laut Bericht funktionieren fein abgestufte Autorisierungen bei kleinen Anwendungen noch vergleichsweise gut, brechen aber mit zunehmender Größe eher auseinander. In den kleineren neu entwickelten Anwendungen machten IDOR-Fehler 11 Prozent der Schwachstellen aus, in der größeren modernisierten Gnuboard7-Anwendung dagegen 28 Prozent. Xint empfiehlt deshalb, granulare Objektberechtigungen umso genauer zu prüfen, je mehr Endpunkte eine Anwendung besitzt.
Trotz der vielen Probleme sieht Xint zugleich Anzeichen für Fortschritte. Vor Beginn der Analyse hatte das Unternehmen erwartet, zahlreiche Injection-Schwachstellen wie SQLi und XSS sowie viele Zugriffssteuerungsfehler im Stil von IDOR oder BOLA zu finden. Tatsächlich traten Injection-Probleme kaum auf, und auch IDOR- beziehungsweise BOLA-Fehler waren deutlich seltener als erwartet. Der Bericht wertet das als Hinweis darauf, dass sich die zugrunde liegenden Modelle in diesen Bereichen tatsächlich verbessert haben.
Xint beschreibt das Ziel der Studie ausdrücklich nicht als Beweis dafür, dass Vibe Coding Fehler erzeugt; das sei bereits bekannt. Ebenso gehe es nicht darum, Unternehmen von der Nutzung solcher Werkzeuge abzubringen. Der Nutzen der Untersuchung liege vielmehr darin, die häufigsten Schwachstellen sowie ihre Ursachen besser zu verstehen, damit Entwickler diese entweder schon über passende Eingaben an die KI vermeiden oder nach der Generierung gezielt aufspüren können.