Software auf Abruf
und die Verantwortung für ihren Einsatz.

In „KI kopiert jede Software, und jetzt?“ beschreibt Arnie eine Zukunft, in der Menschen ein Foto bearbeiten oder ihre Umsätze verstehen möchten und dafür direkt im Gespräch eine kleine Anwendung erhalten. Diese wird nach ihren Änderungswünschen erweitert. Wann diese Entwicklung so weit sein könnte, lässt er offen. Er nennt auch bestehende Fehler und technische Hürden.

In „Vibe Coding hat sich verändert“ beschreibt Niklas Steenfatt, wie KI zunächst die Autovervollständigung, dann ganze Funktionen und Pakete und zunehmend auch Architekturentscheidungen übernimmt. Als Product Owner entscheidet er, welche Funktionen entwickelt werden und welche nicht.

EINORDNUNG

Menschen können beschreiben, was sie brauchen, eine erste Version ausprobieren und sie anpassen. Ein Vergleichswerkzeug für eine einzelne Entscheidung oder ein kleines Dashboard für eine wiederkehrende Frage kann sich auch dann lohnen, wenn ein herkömmliches Softwareprojekt zu aufwendig gewirkt hätte.

Ausgangspunkt kann eine konkrete Aufgabe sein, ohne dass jemand von vornherein Software entwickeln möchte. Ein Werkzeug könnte im Gespräch entstehen, als Anwendung gespeichert oder nach der Nutzung wieder entfernt werden. Sein Umfang kann auf das Problem begrenzt bleiben, statt zu einem großen Produkt anzuwachsen.

Durch meine eigenen Experimente hat sich verändert, welche Ideen ich ausprobieren möchte. Ich bin eher bereit, ein kleines Werkzeug zu bauen, wenn ich das Ergebnis prüfen und schnell ändern kann. Bei meiner Website ist die erste lokale Version schnell entstanden. Danach habe ich weiter daran gearbeitet, bis ich bereit war, sie zu veröffentlichen.

Ich erwarte, dass dies manche Kaufentscheidungen bei Software verändert. Beim Vergleich eines bestehenden Produkts mit einem passgenauen Werkzeug kommt es darauf an, wie gut es zum Bedarf passt, wie zuverlässig es ist und wie viel laufenden Aufwand es verursacht. Wie stark das den Markt verändert, bleibt offen. Die Entwicklung einer eigenen Anwendung kommt aber in mehr Situationen als praktikable Möglichkeit infrage.

ChatGPT Sites verbindet die Erstellung einer Website mit ihrem Hosting. Die Dokumentation beschreibt, wie aus einer Anfrage eine Website entsteht, wie sie geprüft und überarbeitet wird und wie sich festlegen lässt, wer sie besuchen darf. Unterstützt werden auch dauerhaft gespeicherte Datensätze, hochgeladene Dateien und die Anmeldung. Für Anwendungen, die zu diesen Funktionen passen, können dadurch einzelne Einrichtungsschritte entfallen.

Die Dokumentation macht deutlich, dass die Autorisierung innerhalb der Anwendung in den serverseitigen Code gehört. Eine erfolgreiche Anmeldung identifiziert einen Besucher. Die Anwendung braucht weiterhin Regeln dafür, auf welche Datensätze und Aktionen diese Person zugreifen darf.

EINORDNUNG

Zur Nutzung von Software gehören Hosting, dauerhafte Datenspeicherung und die Identifikation der Nutzer. Wenn diese Funktionen im Gespräch eingerichtet werden können, wird es leichter, aus einer Idee eine Anwendung zu machen, die Menschen tatsächlich öffnen und verwenden können.

Ich erwarte, dass Werkzeuge auch den Betrieb von Anwendungen weiter vereinfachen. Dadurch kann der Aufwand für die manuelle Konfiguration deutlich sinken. Dabei hilft es zu klären, was die Plattform verwaltet und welche Regeln die Anwendung selbst durchsetzen muss. Ebenso lässt sich prüfen, ob beides zusammen die Anforderungen der vorgesehenen Nutzung erfüllt.

Gleichzeitig entsteht eine Abhängigkeit von der Plattform. Bevor man sich auf ein Werkzeug verlässt, müssen sein Zugriffsmodell, seine praktischen Grenzen und die Möglichkeiten geprüft werden, die eigenen Daten zu behalten oder zu übertragen. Diese Entscheidungen haben größere Folgen, wenn aus einem persönlichen Experiment eine gemeinsam genutzte Infrastruktur wird.

Der Web Security Testing Guide von OWASP behandelt Sicherheitstests als Arbeit, die sich über Definition, Entwurf, Entwicklung, Bereitstellung und Wartung erstreckt. Die Betriebsphase umfasst die Prüfung, wie Anwendung und Infrastruktur verwaltet werden, die fortlaufende Prüfung ihrer Sicherheit und die Überprüfung von Änderungen nach der Bereitstellung.

Die Best Practices für Codex von OpenAI empfehlen, bei Bedarf Tests zu schreiben oder zu aktualisieren, die relevanten Testsuiten auszuführen, Linting, Formatierungs- oder Typprüfungen einzusetzen und das Ergebnis zu prüfen. Die Dokumentation erläutert, dass Vorgaben zur Verifikation aus dem Prompt oder aus AGENTS.md stammen können.

EINORDNUNG

Mit der Bereitstellung im Internet lässt sich ein Werkzeug nutzen und bewerten. Für einen verlässlichen Betrieb bleiben weitere Aufgaben. Wer sich in einem laufenden Prozess auf das Werkzeug verlassen will, braucht Nachweise darüber, was bei Fehlern von Menschen, beim Ausfall einer Abhängigkeit oder bei Änderungen der Anwendung passiert.

Verifikation muss für jedes Projekt definiert und überprüft werden. Es sollte klar sein, welche Prüfungen tatsächlich ausgeführt wurden und was sie abdecken. Ein grünes Ergebnis stützt Aussagen über die geprüften Aspekte. Auch Zugriffsregeln, Wiederherstellung und das Verhalten angebundener Dienste brauchen klare Akzeptanzkriterien und Nachweise.

Steenfatt beschreibt Verantwortung auch als Aufgabe, Reviews zu planen und anzustoßen, ihren Umfang festzulegen und die dafür verwendeten Tokens zu finanzieren. Diese Verantwortung bedeutet nicht, jede Codezeile persönlich zu lesen. Selective Review bezeichnet hier die Konzentration menschlicher Aufmerksamkeit auf folgenreiche Änderungen, Unsicherheit und Lücken in den Nachweisen. Erforderliche Prüfungen und Freigabegrenzen bleiben dabei erhalten.

Die Absicherung sollte sich danach richten, welche Folgen Fehler hätten. Ein vorübergehend genutztes Rechenwerkzeug mit Beispieldaten braucht weniger Absicherung als eine gemeinsam genutzte Anwendung mit vertraulichen Datensätzen. Für eine solche Anwendung wären getestete Zugriffsregeln, geschützte Zugangsdaten und angemessene Prüfungen des Codes und der Abhängigkeiten geeignete Nachweise. Hinzu kämen Möglichkeiten, Fehlfunktionen und Ausfälle zu erkennen, sowie ein Nachweis, dass wichtige Daten wiederhergestellt werden können. Auch für Wartung und Vorfälle muss klar sein, wer zuständig ist.

Zur Resilienz gehört, nach einer fehlerhaften Aktualisierung wieder einen funktionierenden Zustand herstellen zu können. Auch wenn ein Dienst ausfällt, sollte eine sinnvolle Weiterarbeit möglich bleiben. Diese Erwartungen sollten feststehen, bevor das Werkzeug unverzichtbar wird. Ein Managed-Anbieter kann Teile davon übernehmen. Welche Teile das sind und ob sie für die konkrete Anwendung funktionieren, bleibt zu prüfen.

Diese Prüfungen und Betriebsaufgaben können ebenfalls automatisiert oder durch KI unterstützt werden. Dabei kommt es darauf an, was sie abdecken, welche Ergebnisse sie liefern und wer bei nicht abgedeckten Fällen handelt. Eine mit KI entwickelte Anwendung braucht auch die übliche Softwaresicherheit. Zusätzliche modellspezifische Kontrollen werden dort relevant, wo die Anwendung tatsächlich ein KI-Modell nutzt.

Eine erste Version lässt sich mit weniger Aufwand erstellen, und Plattformen können mehr technische Arbeit übernehmen. Um zu entscheiden, wofür sich eine Anwendung im Alltag eignet, braucht es weiterhin klare Anforderungen, geeignete Datenzugriffe und Nachweise für zuverlässiges Verhalten.