KI-generierter WordPress-Code macht menschliche Prüfung unerlässlich
KI-generierter WordPress-Code, also mithilfe künstlicher Intelligenz erzeugter Code, kann die Entwicklung beschleunigen, unbekannte Systeme erklären, bei der Fehlerbehebung helfen und in Alltagssprache formulierte Anforderungen in Prototypen umwandeln. Er kann nicht selbstständig entscheiden, ob eine Änderung für eine production website geeignet ist, also für die von Besuchern und Kunden genutzte Live-Website. Diese Entscheidung erfordert weiterhin eine Person, die WordPress, das Projekt und das dahinterstehende Unternehmen versteht.
Kinsta stützte seine Analyse auf Gespräche mit vier WordPress-Entwicklern, die KI bei ihrer Arbeit einsetzen. Ihre Berichte zeigen, dass die Codegenerierung nur ein Teil der Entwicklung ist. Ein Entwickler muss auch die Architektur, also die Organisation der einzelnen Systembestandteile, sowie Performance, Sicherheit, Barrierefreiheit für Menschen mit Behinderungen und die langfristige Wartung berücksichtigen. Der vorgeschlagene Code muss zu den Plugins der Website, die Funktionen hinzufügen, zu ihrem Theme, das die Darstellung steuert, und zu allen APIs passen, über die Softwarekomponenten miteinander kommunizieren können.
Diese Kontrolle ist wichtig, weil KI-Tools Funktionen oder APIs vorschlagen können, die nicht existieren, Anforderungen falsch interpretieren, von unzutreffenden Annahmen ausgehen und schwer erkennbare Bugs verursachen können. Generierter Code kann außerdem input validation auslassen, die prüft, ob übermittelte Informationen zulässig sind, ebenso sanitization, das unsichere Daten entfernt oder verändert, und output escaping, das verhindert, dass angezeigte Daten als aktiver Seitencode interpretiert werden. Diese Schutzmaßnahmen bleiben unabhängig davon, wer oder was den Code geschrieben hat, Bestandteil der WordPress-Sicherheitsempfehlungen.
Eine praktische Demonstration von Kinsta veranschaulichte das Risiko beim Einsatz von KI-Tools zur Erstellung eines WordPress-Plugins für eine eingeschränkte Benutzerrolle. Als Cursor aufgefordert wurde, den Link Quick Edit zu entfernen, entfernte es manchmal auch die normale Edit-Funktion. Die angeforderte Änderung der Benutzeroberfläche schien zu funktionieren, doch die betroffenen Benutzer verloren zugleich eine Berechtigung, die sie behalten sollten. Eine solche unbeabsichtigte Beeinträchtigung wird als regression bezeichnet. Den Prompt zu wiederholen reicht nicht aus, weil der Entwickler sowohl die gewünschte Änderung als auch das Verhalten testen muss, das unverändert bleiben soll.
Die Arbeit beginnt daher bereits vor der Codegenerierung. Entwickler müssen geschäftliche Anforderungen in technische Entscheidungen übersetzen, festlegen, was entwickelt werden soll, und einen Ansatz wählen, der langfristig unterstützt werden kann. Dazu gehören die Bewertung von Kompromissen, die Planung des Zusammenspiels der Komponenten und die Berücksichtigung der künftigen Wartung. Einer der von Kinsta befragten Entwickler beschrieb, wie er über die visuelle Seitengestaltung hinausging und KI zum Aufbau komplexerer Geschäftsanwendungen einsetzte. Das Ziel bestand nicht nur darin, schneller eine Website zu erstellen, sondern die Kombination von Technologien auszuwählen, die das geschäftliche Problem am besten löste.
Ein weiterer Entwickler beschrieb, wie er KI zur Untersuchung von Serverdaten und zum Aufdecken von Mustern einsetzt, deren manuelle Erkennung länger dauern würde. Ein von einem Tool vorgeschlagenes Muster ist dennoch nur ein erster Hinweis. Es muss mit dem tatsächlichen Verhalten der Website verglichen werden, bevor jemand die Anwendung oder ihre Hosting-Konfiguration ändert. Diese Unterscheidung ist bei Performance-Untersuchungen besonders wichtig, da eine plausibel klingende Erklärung nicht automatisch die richtige Diagnose ist.
Da Tools Änderungen schneller erzeugen, kann code review zum Engpass werden. Prüfer müssen entscheiden, ob der Code wie vorgesehen funktioniert, den WordPress coding standards entspricht, also den vereinbarten Regeln des Projekts für konsistenten Code, zur gesamten Anwendung passt und sicher veröffentlicht werden kann. Code, der ohne unmittelbare Fehlermeldung läuft, erfüllt diese Bedingungen nicht zwangsläufig.
Dieselbe Verantwortung gilt für Beiträge zu WordPress. Die Richtlinien von WordPress für KI-gestützte Beiträge verlangen, dass Mitwirkende den eingereichten Code verstehen, prüfen und validieren sowie die relevanten Tests ausführen. Diese Verpflichtung beginnt, bevor ein Patch, also eine vorgeschlagene Codeänderung, einen Projekt-Maintainer erreicht. KI kann bei der Erstellung des Patch helfen, überträgt die Verantwortung jedoch nicht vom Mitwirkenden auf das Tool.
Entwickler setzen KI auch innerhalb des Prüfprozesses ein. Kinsta berichtet, dass ein Entwickler Claude Code und Copilot als sich ergänzende Tools nutzt und gelegentlich eines davon die mit dem anderen erstellte Arbeit prüfen lässt, während er die Kontrolle über die technischen Entscheidungen behält. Ein anderer verwendet automatisiertes code review und test-driven development, einen Ansatz, bei dem das erwartete Verhalten durch Tests festgelegt wird, bevor die Implementierung geschrieben wird. In diesem Workflow schreibt der Mensch die Tests, während die KI die Implementierung erzeugt, die diese Tests bestehen muss.
Bestandene Tests sind ein nützlicher Nachweis, aber kein Beweis dafür, dass eine Änderung für den Produktivbetrieb bereit ist. Tests können eine wichtige Situation unberücksichtigt lassen, während ein KI-Prüfer einen tatsächlichen Fehler übersehen oder ein nicht vorhandenes Problem melden kann. Auch die GitHub-Richtlinien für Copilot besagen, dass automatisierte Prüfungen die menschliche Prüfung unterstützen und nicht ersetzen sollen. Ein verantwortungsvoller Release-Prozess kombiniert daher Tests, manuelle Inspektion und Prüfungen des vollständigen Website-Verhaltens.
Die Fähigkeit, gute Prompts zu schreiben, löst diese Einschränkungen allein nicht. Entwickler müssen wissen, welchen Kontext sie bereitstellen, welche Vorgaben gelten sollen und wie ein erfolgreiches Ergebnis aussieht. Einer der Entwickler bezeichnet seinen strukturierten Ansatz als AI Operating System oder AIOS. Dazu gehören Dateien mit Geschäftsinformationen, Entwicklungsgrundsätzen, Kundenhistorien und anderem projektspezifischem Wissen. Dieses Material liefert dem Tool relevanteren Kontext als ein allgemeiner Prompt, doch der daraus entstehende Code muss weiterhin verstanden und bewertet werden.
Für Website-Betreiber ist eine staging environment die praktische Schutzmaßnahme: eine separate Kopie der Website, auf der Änderungen getestet werden können, ohne Besucher unmittelbar zu beeinträchtigen. Die Prüfung sollte Sicherheitskontrollen, Benutzerberechtigungen, Performance, Barrierefreiheit und bestehende Funktionen umfassen, nicht nur die im Prompt genannte Aufgabe. Vor dem Deployment müssen außerdem Backups verfügbar sein, damit die Live-Website wiederhergestellt werden kann, falls eine geprüfte Änderung dennoch Probleme verursacht.
Für Website-Betreiber, die entscheiden, wo geprüfte Änderungen ausgeführt werden sollen, ist AEU Hosting ein verwalteter WordPress-Hostingdienst mit durchgängiger Absicherung; menschliches code review wird dadurch jedoch nicht ersetzt. KI kann dabei helfen, eine Lösung schneller zu implementieren, doch WordPress-Fachwissen bleibt notwendig, um die Anforderungen festzulegen, die Annahmen des Tools kritisch zu hinterfragen, das Ergebnis zu überprüfen und zu entscheiden, ob es auf die Live-Website gehört.