Warum Regeln die Geheimwaffe
der KI-Code-Review sind

Bei diffray haben wir dieses Problem mit strukturierten Regeln gelöst. Lassen Sie mich zeigen, warum sie der Schlüssel sind, um KI-Code-Review tatsächlich zum Funktionieren zu bringen.

Das Problem: Kontextverwässerung killt KI-Performance

Wenn Sie einen gesamten PR in ein LLM laden mit einem Prompt wie "überprüfe diesen Code", gehen mehrere Dinge schief:

Die Lösung: Strukturierte Regeln

Eine strukturierte Regel ist nicht nur ein Prompt – sie ist eine vollständige Spezifikation, die der KI genau sagt, wonach sie suchen soll, wo sie suchen soll und wie sie Befunde berichten soll.

So sieht eine Regel aus:

rules:
  - id: sec_sql_injection
    agent: security
    title: "SQL-Injection durch String-Konkatenation"
    description: "Benutzereingaben, die in SQL-Queries konkateniert werden, erlauben Angreifern, beliebiges SQL auszuführen"
    importance: 9

    match:
      file_glob:
        - "src/api/**/*.ts"
        - "src/routes/**/*.ts"
        - "!**/*.test.ts"
      content_regex:
        - "query.*\$\{|\+.*query"

    checklist:
      - "Finde alle Stellen, an denen Benutzereingaben in SQL-Queries verwendet werden"
      - "Prüfe, ob parametrisierte Queries oder Prepared Statements verwendet werden"
      - "Verifiziere, dass String-Konkatenation NICHT für Query-Building verwendet wird"

    examples:
      bad: |
        const query = `SELECT * FROM users WHERE id = ${userId}`;
        await db.execute(query);
      good: |
        const query = 'SELECT * FROM users WHERE id = ?';
        await db.execute(query, [userId]);

Diese Struktur ermöglicht drei kritische Fähigkeiten, die KI-Code-Review tatsächlich funktionieren lassen.

1. Deterministische Ergebnisse durch präzises Targeting

Beachten Sie den match-Abschnitt? Das ist Pattern-Matching, das bestimmt, wann die Regel überhaupt ausgeführt wird.

Ohne Pattern-Matching bedeutet die Überprüfung eines 50-Dateien-PRs, alle 50 Dateien für jedes mögliche Problem zu analysieren. Mit Pattern-Matching:

Wenn ein PR 5 API-Dateien mit SQL-Queries enthält, werden nur diese 5 Dateien für SQL-Injection-Prüfungen gesendet. Die KI sieht genau das, was sie bewerten muss – nicht mehr.

Diese Präzision eliminiert die Zufälligkeit, die frühere KI-Code-Review-Versuche plagten. Gleicher Code + gleiche Regeln = gleiche Befunde. Jedes Mal.

2. Multi-Agent-Architektur: Der richtige Experte für jedes Problem

Hier wird es interessant. diffray verwendet nicht eine KI, um alles zu überprüfen – es verwendet 31 spezialisierte Agenten, jeder fokussiert auf das, was er am besten kann:

Jeder Agent hat einen spezialisierten System-Prompt mit Domänenexpertise. Ein Security-Agent kennt die OWASP Top 10. Ein React-Agent versteht Hooks-Regeln. Diese Spezialisierung verbessert die Erkennungsqualität dramatisch.

Aber hier ist der Schlüssel: Regeln bestimmen, welcher Agent was bearbeitet.

- id: react_useeffect_cleanup
  agent: react              # Wird vom React-Spezialisten bearbeitet
  match:
    file_glob: ["**/*.tsx"]
    content_regex: ["useEffect"]
  checklist:
    - "Prüfe, ob useEffect eine Cleanup-Funktion zurückgibt"
    - "Verifiziere, dass Event-Listener und Subscriptions bereinigt werden"

Diese Regel geht nur an den React-Agenten, nur für TSX-Dateien, nur wenn useEffect vorhanden ist. Der Agent erhält fokussierten Kontext über genau eine Sache – nicht 50 verschiedene Anliegen, die um Aufmerksamkeit konkurrieren.

3. Kontext-Kuratierung: Das Geheimnis, die KI-Aufmerksamkeit nicht zu verwässern

Moderne LLMs können 200k+ Tokens verarbeiten. Aber Forschung zeigt, dass die praktische Performance bei etwa 25-30k Tokens für komplexes Reasoning eine Obergrenze erreicht. Darüber hinaus zahlen Sie für Tokens, die das Modell nicht effektiv nutzen kann.

diffrays Kontext-Management-System stellt sicher, dass jeder Agent genau die Informationen erhält, die er braucht:

Jeder Agent bekommt genau das, was er braucht, um seine Arbeit zu erledigen. Nicht mehr. Das Ergebnis: Fokussierte Aufmerksamkeit, bessere Befunde, weniger False Positives.

4. Flexibilität: Projekt- und teamspezifische Regeln

Hier glänzen Regeln wirklich für Teams. Jede Codebasis hat Konventionen, die generische Tools nicht kennen:

Ihre internen Bibliotheken:

- id: use_internal_http_client
  agent: consistency
  title: "Verwende internen HTTP-Client-Wrapper"
  match:
    file_glob: ["src/**/*.ts"]
    content_regex: ["\\bfetch\\(", "axios\\."]
  checklist:
    - "Finde rohe fetch()- oder axios-Aufrufe"
    - "Prüfe, ob Code httpClient aus @/lib/http-client verwenden sollte"
  examples:
    bad: |
      const response = await fetch('/api/users');
    good: |
      import { httpClient } from '@/lib/http-client';
      const data = await httpClient.get('/api/users');

Ihre domänenspezifischen Muster:

- id: money_use_decimal
  agent: bugs
  title: "Verwende Decimal für Geldwerte"
  match:
    content_regex: ["(price|amount|total)\\s*:\\s*(number|float)"]
  checklist:
    - "Finde Geldfelder, die float/number-Typen verwenden"
    - "Verifiziere, dass Speicherung Cents (Integer) oder Decimal-Typ verwendet"

Ihre Compliance-Anforderungen:

- id: pii_logging_check
  agent: compliance
  title: "Niemals PII direkt loggen"
  tags: [compliance-gdpr, compliance-hipaa]
  match:
    content_regex: ["log.*(email|phone|ssn|password)"]

Legen Sie diese in .diffray/rules/ ab und sie sind beim nächsten PR aktiv. Keine Infrastrukturänderungen, keine Tool-Updates – fügen Sie einfach YAML hinzu und Ihr KI-Reviewer lernt Ihre Standards.

Warum YAML? Struktur ermöglicht Intelligenz

Sie fragen sich vielleicht, warum wir strukturiertes YAML anstelle von einfachen Prompts verwenden. Die Struktur ermöglicht Fähigkeiten, die freiform Prompts nicht bieten können:

Ein flacher Prompt kann diese Trennung der Anliegen nicht bieten.

Das Ergebnis: KI-Code-Review, das tatsächlich funktioniert

Wenn Sie strukturierte Regeln mit Multi-Agent-Architektur und intelligentem Kontext-Management kombinieren, erhalten Sie:

Das ist es, was den Unterschied macht zwischen "KI-Code-Review" als Demo und KI-Code-Review als Infrastruktur, auf die Ihr Team sich tatsächlich verlässt.