Vibe Coding mit OpenClaw: Fünf Regeln für die SOUL.md

Die SOUL.md ist die wichtigste Konfigurationsdatei von OpenClaw, dem KI-Agenten des österreichischen Entwicklers Peter Steinberger. Beim Vibe Coding entscheidet sie darüber, wie sicher der generierte Code ausfällt. Ohne Security-Regeln in der SOUL.md schreibt der Agent funktionierenden Code, der bekannte Schwachstellen enthalten kann. Dieser Artikel zeigt fünf konkrete Regeln, die das verhindern. Wer die SOUL.md noch nicht kennt, findet die Grundlagen im SOUL.md-Tutorial.

Warum entscheidet die SOUL.md über die Sicherheit beim Vibe Coding?

Sprachmodelle sind auf funktionierenden Code optimiert, nicht auf Sicherheit. Der Veracode GenAI Code Security Report 2025 testete über 100 Sprachmodelle verschiedener Anbieter und Größen anhand von 80 praxisnahen Programmieraufgaben. In 45 % der Fälle wählten die Modelle die unsichere Variante.

Die SOUL.md kann das ändern. Sie wird bei jeder neuen Sitzung geladen und fließt in jede Antwort des Agenten ein. Eine Anweisung wie „Verwende niemals im Quellcode hinterlegte Zugangsdaten“ wirkt auf jede Zeile Code, die OpenClaw generiert. Ohne diese Anweisung trifft das Modell die Entscheidung selbst.

Mehrere Sicherheitsfirmen haben reagiert. Auf GitHub veröffentlichte SlowMist einen kompletten Security-Practice-Guide, der direkt an den Agenten geschickt werden kann. Das OpenClaw-Projekt selbst dokumentiert in der offiziellen SOUL.md-Anleitung, wie Sicherheitsregeln als nicht verhandelbare Grenzen formuliert werden. Die Empfehlung dort: absolute Formulierungen verwenden. Nicht „versuche keine Passwörter zu speichern„, sondern „speichere niemals Passwörter im Code„. Wer sich für die verwandten Techniken interessiert, findet in unserem Artikel über Prompt Engineering für KI-Agenten weitere Grundlagen.