Kostenloser Leitfaden

Mit KI-Coding-Agenten sicher ausliefern

Ein Einführungs-Framework für einen KI-gestützten Software-Delivery-Lifecycle (AI-SDLC). Es ist der Prozess hinter über 5'000 gemergten Pull Requests auf zwei produktiven Plattformen.

Was drin steht

1. 1. Zuerst die Leitplanken schreiben

   • Eine kurze Anweisungsdatei pro Repository: Architektur, Konventionen, was der Agent darf und was nicht.
   • Feste Regeln: Login, Zahlungen, Datenlöschung und Secrets brauchen immer eine menschliche Freigabe.
   • Agenten arbeiten nie mit Produktivdaten oder echten Kundenkonten, nur mit Testkonten.

2. 2. Jede Änderung klein und umkehrbar halten

   • Ein Ticket, ein Pull Request. Branch Protection und Arbeit nur über PRs, keine direkten Pushes.
   • Datenbank-Migrationen idempotent und vor dem Merge im Trockenlauf gegen die Zieldatenbank geprüft.

3. 3. Immer zuerst Staging

   • Jede Änderung läuft vor der Produktion über eine Staging-Umgebung, mit demselben Build und derselben Konfiguration.
   • Nur geänderte Functions oder Services werden deployt, damit jedes Release klein bleibt.

4. 4. Prüfen wie ein Nutzer

   • Unit- und End-to-End-Tests, dazu Typecheck- und Lint-Baselines, die nur besser werden können.
   • Ein KI-Browsertest in echtem Chrome: der Ablauf in Alltagssprache beschrieben, Ergebnis mit Fehlern und Fix-Prompt.

5. 5. Die Auswirkung vor der Produktion analysieren

   • Eine kurze Tabelle pro Release: was sich ändert, wer betroffen ist, das Risiko und der Rückweg.
   • Ein Mensch gibt den Merge in die Produktion frei.

6. 6. Ausliefern und beobachten

   • Smoke-Tests auf kritischen Routen nach jedem Deploy, und der Deploy wird rot, wenn eine ausfällt.
   • Ergebnis-Monitoring und pro Fehler ein automatisch eröffnetes Issue, das sich bei Erholung wieder schliesst.

7. 7. Den Kreis schliessen

   • Kundenantworten entwirft der Agent, abgeschickt werden sie von einem Menschen.
   • Jede Erkenntnis fliesst zurück in die Anweisungsdateien, so verbessert sich der Prozess selbst.

8. Einführung nach Unternehmensgrösse

   • Startup: Leitplanken, Staging und Browser-Checks in ein bis zwei Wochen. Tempo kommt aus dem Ablauf, nicht aus dem Überspringen.
   • KMU: ein Pilotteam für vier bis sechs Wochen, ein Security-Review, dann die Einführung in den anderen Teams.
   • Konzern: zuerst Governance: eine freigegebene Liste von Modellen und Anbietern, Datenklassifizierung, lokale Modelle für sensiblen Code, ein Audit-Trail und ein Plattform-Team, das die anderen befähigt.

9. Was man messen sollte

   • Durchlaufzeit vom Ticket bis zur Produktion, Change-Failure-Rate, gemergte Pull Requests pro Woche und von Nutzern gefundene Fehler.