Veracode meldete am 29. Oktober 2026, dass Claude Opus 5.5 und GPT-6-Sol in seinem Sicherheitsbenchmark für KI-generierten Code jeweils 73 Prozent der Sicherheitsprüfungen bestanden. Beide erreichten beim Syntaxwert 100 Prozent. Die Zahlen beziehen sich auf die geprüften Aufgaben und zeigen zugleich: Ein hoher Syntaxwert und ein hoher Sicherheitswert beantworten unterschiedliche Fragen.
Was Veracode geprüft hat
Veracode veröffentlichte die Ergebnisse seiner im Oktober 2026 durchgeführten Auswertung in einem Benchmark zu KI-generiertem Code. Darin verglich das Unternehmen 18 Modelle mit generiertem Code in Python, C#, JavaScript und Java. Geprüft wurden vier Schwachstellenklassen aus der Common Weakness Enumeration (CWE), einem Katalog typischer Software-Schwächen: SQL-Injection (CWE-89), kryptografische Schwächen (CWE-327), Cross-Site Scripting (XSS, CWE-80) und Log-Injection (CWE-117).
Die Sicherheits-Passrate gibt an, wie häufig ein Modell die Sicherheitsprüfungen bestand. Der Syntaxwert erfasst, ob die Ausgabe syntaktisch korrekt ist. Veracode zufolge erfolgte die Auswertung ohne spezifische Sicherheitsanweisungen in den Aufgaben; das Unternehmen nannte diese Bedingung in seiner Pressemitteilung vom 29. Oktober.
Die Ergebnisse der 18 Modelle
Claude Opus 5.5 und GPT-6-Sol lagen bei der Sicherheits-Passrate gemeinsam vorn. Die vollständige Rangfolge zeigt, wie weit die Werte auseinanderliegen. Syntax und Sicherheit sind getrennte Messgrößen.
| Modell | Sicherheits-Passrate | Syntaxwert |
| Claude Opus 5.5 | 73 % | 100 % |
| GPT-6-Sol | 73 % | 100 % |
| Claude Sonnet 5.5 | 72 % | 99 % |
| GPT-5.6-Sol | 70 % | 100 % |
| Grok 4.7 | 69 % | 100 % |
| Qwen 3.8-Max-0902 | 68 % | 100 % |
| Claude Sonnet 5 | 66 % | 100 % |
| GPT-6-Luna | 66 % | 100 % |
| GLM 5.3 | 64 % | 100 % |
| Gemini 3.8 Flash | 62 % | 100 % |
| Gemini 3.7 Flash | 60 % | 100 % |
| DeepSeek V4 Pro | 59 % | 100 % |
| Kimi K3 | 58 % | 100 % |
| Grok 4.6 | 58 % | 100 % |
| MiniMax M3 | 56 % | 100 % |
| Qwen 3.7-Max | 50 % | 100 % |
| Palmyra X5 | 50 % | 91 % |
| Nova 2 Lite | 44 % | 100 % |
Veracode meldete für den Oktober-Snapshot eine durchschnittliche Sicherheits-Passrate von 62 Prozent, verglichen mit 56 Prozent im Juli. Das entspricht einem Anstieg um sechs Prozentpunkte. Zehn der 18 Modelle erreichten mindestens 60 Prozent.
Ergebnisse nach Programmiersprache und Schwachstellenklasse
Die Sprachwerte reichen von 31 Prozent bei Java bis 64,22 Prozent bei Python. Sie sind Durchschnittswerte des Benchmarks, keine Zusage für ein bestimmtes Projekt oder jede Codebasis.
| Programmiersprache | Sicherheits-Passrate |
| Python | 64,22 % |
| C# | 59,55 % |
| JavaScript | 56,99 % |
| Java | 31,00 % |
Auch zwischen den vier getesteten Schwachstellenklassen zeigen sich unterschiedliche Werte. Die folgende Gegenüberstellung gibt Veracodes Juli- und Oktober-Snapshots wieder; der Oktoberwert für CWE-80 ist ein Mittelwert.
| CWE | Schwachstellenklasse | Juli 2026 | Oktober 2026 |
| CWE-327 | Kryptografische Schwächen | 87 % | 87,4 % |
| CWE-89 | SQL-Injection | 83 % | 83,7 % |
| CWE-80 | Cross-Site Scripting (XSS) | 15 % | 18 % (Mittelwert) |
| CWE-117 | Log-Injection | 12 % | 12,6 % |
Veracode führte einen großen Teil des Anstiegs auf XSS zurück. Das Unternehmen erklärte, vertraute Muster für eine sichere Ausgabe in HTML seien für Modelle leichter zu erkennen als die Datenfluss-Zusammenhänge, die bei Log-Injection geprüft werden müssen. Die Zahlen zeigen die unterschiedlichen Ergebnisse in diesen Testkategorien; Veracodes Erklärung dazu ist eine Interpretation des Unternehmens.
Was die Passrate für Entwicklungsteams bedeutet
Die 73 Prozent beschreiben den Anteil bestandener Sicherheitsprüfungen in Veracodes Aufgabenbenchmark. Der Wert ist kein Maß dafür, welcher Anteil produktiv eingesetzter Software sicher ist. Veracode veröffentlichte Ergebnisse für vier Sprachen und vier CWE-Kategorien; die Werte beziehen sich auf diese Prüfungen.
Für den Arbeitsalltag heißt das: Syntaxprüfung und Sicherheitsprüfung sollten getrennte Schritte bleiben. Veracode empfiehlt, generierten Code mit unabhängigen Sicherheitstests und der Behebung gefundener Probleme zu verbinden. Ein Syntaxwert von 100 Prozent beantwortet dabei die Frage nach korrekter Syntax, nicht die nach bestandenen Sicherheitsprüfungen.
