PRÜFUNG UND EVIDENZ /
Alibaba gibt sein Prüfwerkzeug frei und nimmt bewusst weniger Treffer in Kauf
Wer zwanzig Hinweise durchgeht und zwei brauchbare findet, liest beim nächsten Mal keinen mehr. Danach ist das Werkzeug installiert und wirkungslos.
Ein Prüfwerkzeug ersetzt keine Verantwortung. Es verschiebt nur, wo sie sichtbar wird.
Was veröffentlicht wurde
Alibaba beschreibt OpenCodeReview als internes Prüfwerkzeug, das über zwei Jahre in der Gruppe im Einsatz war und nun unter Apache 2.0 offen bereitsteht. Es liest die Unterschiede eines Git-Stands, gibt geänderte Dateien an ein konfigurierbares Modell und erzeugt Kommentare mit Zeilenbezug. Der Agent kann vollständige Dateien lesen, im Projekt suchen und weitere Änderungen zum Kontext ziehen. Ein zweiter Modus prüft ganze Dateien auch ohne aussagekräftigen Unterschied.
Die interessante Abwägung
Das Projekt nennt eigene Messungen gegen einen allgemeinen Agenten: höhere Präzision, höhere F1, etwa ein Neuntel der Token, dabei ausdrücklich niedrigere Trefferquote. Grundlage ist ein eigener Benchmark aus 200 Pull Requests und 50 Projekten mit Annotationen erfahrener Entwickler. Das sind Anbieterangaben, nicht unser Messergebnis. Bemerkenswert ist, dass der Anbieter seine schwächere Kennzahl selbst benennt und als Absicht ausweist.
Warum das für regulierte Organisationen zählt
In einer Organisation mit Nachweispflicht ist ein Prüfwerkzeug kein Komfortmerkmal. Es erzeugt Artefakte, die später als Beleg herangezogen werden. Damit entstehen drei Fragen, die vor der Einführung zu beantworten sind: Welche Befunde dürfen einen Merge blockieren, wer entscheidet über eine Ausnahme, und wo wird diese Entscheidung festgehalten? Wer das Blockieren einer Maschine überlässt, hat seine Freigabe abgegeben, ohne sie zu beschließen.
Was vor der Einführung zu messen ist
Für eine belastbare Bewertung braucht es einen Lauf gegen echte Pull Requests des eigenen Teams, gemessene Tokenkosten je Prüfung und eine dokumentierte Regel, welche Befunde welchen Status haben. Erst dann lässt sich sagen, ob die bewusste Entscheidung für weniger Fehlalarme im eigenen Repository trägt. Ein fremder Benchmark beantwortet diese Frage nicht.
QUELLEN UND STAND / GEPRÜFT 2026-09-17
MATHIAS HEINKE