💬 NLP

Library Hallucinations in LLM-Generated Code: A Risk Analysis Grounded in Developer Queries

Dieser Beitrag stellt die erste systematische Untersuchung darüber vor, wie realistische Variationen von Entwickler-Prompts, wie etwa Tippfehler und erfundene Namen, Bibliothekshalluzinationen in von LLMs generiertem Code auslösen, wobei erhebliche Schwachstellen aufgedeckt und der LibHalluBench-Benchmark eingeführt wird, um eine reproduzierbare Evaluierung und Abschwächung dieser Risiken zu ermöglichen.

Ursprüngliche Autoren: Lukas Twist, Jie M. Zhang, Mark Harman, Helen Yannakoudakis

Veröffentlicht 2026-05-20

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Lukas Twist, Jie M. Zhang, Mark Harman, Helen Yannakoudakis

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben einen sehr talentierten, selbstbewussten, aber leicht vergesslichen Assistenten, der ein Experte für das Schreiben von Computercode ist. Sie bitten ihn, ein bestimmtes Werkzeug zu erstellen, und er beginnt fröhlich zu tippen. Dieser Assistent hat jedoch eine gefährliche Angewohnheit: Manchmal, wenn er den genauen Namen eines benötigten Werkzeugs nicht kennt, erfindet er einfach einen. Er erfindet eine Bibliothek (eine vorgefertigte Sammlung von Code), die nicht existiert, schreibt sie aber mit solchem Selbstvertrauen nieder, dass Sie möglicherweise nicht merken, dass sie gefälscht ist, bis Sie versuchen, sie zu verwenden, und sie versagt.

Dieser Artikel ist eine tiefgehende Untersuchung, warum dieser Assistent diese gefälschten Werkzeuge erfindet, insbesondere wenn Sie ihm leicht abweichende Anweisungen geben oder kleine Fehler machen.

Hier ist die Aufschlüsselung ihrer Erkenntnisse mit einfachen Analogien:

1. Die „Zeitreise"-Falle

Die Forscher stellten fest, dass der Assistent, wenn Sie ihn nach einem Werkzeug „aus dem Jahr 2025" bitten (einem Jahr, das noch nicht stattgefunden hat oder über seinen Trainingszeitraum hinausgeht), sehr nervös wird und anfängt, wild zu halluzinieren.

Die Analogie: Stellen Sie sich vor, Sie bitten einen Bibliothekar um ein Buch, das in der Zukunft veröffentlicht wurde. Anstatt zu sagen: „Ich habe das nicht", erfindet der Bibliothekar möglicherweise einen Titel, ein Cover und eine Zusammenfassung, die perfekt klingen, aber nicht existieren.
Das Ergebnis: Wenn nach Bibliotheken „aus dem Jahr 2025" gefragt wurde, erfand der Assistent in bis zu 85 % der Fälle eine gefälschte Bibliothek. Er ist schlecht darin, seine eigene „Wissensgrenze" (das Datum, an dem er das Lernen eingestellt hat) zu kennen.

2. Die „Tippfehler"-Falle (Nachlässige Rechtschreibung)

Wenn Sie den Namen einer echten Bibliothek versehentlich falsch schreiben, korrigiert der Assistent Sie oft nicht. Stattdessen gibt er sich einen Ruck und tut so, als wäre die falsch geschriebene Version echt.

Die Analogie: Stellen Sie sich vor, Sie bitten einen Koch um „Spagetti" (ohne das „h"). Anstatt zu sagen: „Meinten Sie Spaghetti?", greift der Koch möglicherweise einfach nach einer Schachtel mit dem Etikett „Spagetti" von einem Regal, das er erfunden hat, oder schlimmer noch, er erfindet ein neues Gericht namens „Spagetti", das nicht existiert.
Das Ergebnis:
- Ein einzelner Tippfehler (wie numpi statt numpy) führte in 26 % der Fälle zur Verwendung gefälschter Bibliotheken.
- Ein falscher Bibliotheksname (etwas, das echt klingt, aber nicht ist, wie „GaussianTools") wurde in bis zu 99 % der Fälle akzeptiert und verwendet. Der Assistent ist so bemüht, Ihnen zu gefallen, dass er ein gefälschtes Werkzeug verwendet, anstatt Ihnen zu sagen, dass es nicht existiert.

3. Die „Adjektiv"-Falle (Was nicht funktioniert)

Interessanterweise ignoriert der Assistent, wenn Sie nach einer Bibliothek fragen, die „schnell", „einfach" oder „modern" ist, diese Wörter meist und wählt einfach eine Standard-, echte Bibliothek aus, die er kennt.

Die Analogie: Wenn Sie nach einem „schnellen Auto" fragen, gibt Ihnen der Assistent einfach einen Standard-Toyota. Er erfindet kein „super-schnelles-fliegendes-Auto", weil er weiß, dass diese Adjektive vage sind.
Das Ergebnis: Adjektive wie „schnell" oder „leichtgewichtig" führten selten zu Halluzinationen. Die Gefahr geht von spezifischen Einschränkungen (wie Daten) oder Fehlern (wie Tippfehlern) aus.

4. Die „Schlussfolgerungs"-Falle (Zu viel Nachdenken)

Die Forscher versuchten, dies zu beheben, indem sie dem Assistenten sagten, er solle „Schritt für Schritt denken" oder „seine Fakten überprüfen", bevor er antwortet.

Die Analogie: Es ist, als würde man einem nervösen Schüler sagen: „Atme tief durch und denke hart über dieses Matheproblem nach." Manchmal hilft das. Aber oft wird der Schüler nur selbstbewusster in seiner falschen Antwort, weil er mehr Zeit damit verbracht hat, sie zu rechtfertigen.
Das Ergebnis: Diese „Schlussfolgerungs"-Tricks funktionierten nicht konsistent. Tatsächlich machten sie die Halluzinationen manchmal schlimmer. Der Assistent erklärte selbstbewusst, warum seine gefälschte Bibliothek echt war, was es für Sie schwieriger machte, den Fehler zu erkennen.

5. Die „Werkzeug"-Lösung (Das Telefonbuch überprüfen)

Die Forscher testeten, dem Assistenten ein einfaches Werkzeug zu geben: einen Knopf, der überprüft, ob eine Bibliothek tatsächlich in der offiziellen Datenbank (PyPI) existiert.

Die Analogie: Anstatt dass der Assistent ratet, geben Sie ihm ein Telefonbuch. Wenn er sagt: „Ich verwende Spagetti", überprüft er das Buch, sieht, dass es dort nicht steht, und sagt dann: „Oh, das existiert nicht."
Das Ergebnis: Das half sehr, war aber keine magische Lösung. Der Assistent vergaß manchmal noch immer, das Buch zu überprüfen, oder überprüfte es, entschied sich aber, das Ergebnis zu ignorieren und den falschen Namen trotzdem zu verwenden.

Die große Erkenntnis: LIBHALLUBENCH

Da dies ein so großes Problem ist, erstellten die Autoren einen neuen Test namens LIBHALLUBENCH.

Die Analogie: Denken Sie daran wie an einen „Führerschein-Test", der speziell dafür entwickelt wurde, zu sehen, ob ein autonomes Fahrzeug eine gefälschte Stoppschilder halluziniert. Er enthält Tausende von kniffligen Fragen (wie „Gib mir eine Bibliothek aus dem Jahr 2025" oder „Verwende diesen falsch geschriebenen Namen"), um systematisch zu testen, wie wahrscheinlich es ist, dass verschiedene KI-Modelle gefälschte Werkzeuge erfinden.

Warum sollten Sie sich dafür interessieren?

Wenn Sie ein Entwickler sind, der KI zum Schreiben von Code verwendet, und die KI eine gefälschte Bibliothek erfindet, wird Ihr Code abstürzen, wenn Sie versuchen, ihn auszuführen. Noch schlimmer: Wenn ein Hacker eine gefälschte Bibliothek erstellt, die mit der von der KI erfundenen übereinstimmt (ein Trick namens „Slopsquatting"), könnte Ihr System mit Malware infiziert werden.

Kurz gesagt: KI-Code-Generatoren sind großartig, aber sie sind gefährlich selbstbewusst, wenn sie die Antwort nicht kennen. Sie erfinden gefälschte Werkzeuge, um Ihre Anfrage zu erfüllen, besonders wenn Sie nach etwas aus der Zukunft fragen oder einen kleinen Tippfehler machen. Wir brauchen bessere Wege, um sie davon abzuhalten, Dinge zu erfinden.

Technische Zusammenfassung: Bibliotheks-Halluzinationen in von LLMs generiertem Code

Problemstellung

Large Language Models (LLMs) sind zu einem integralen Bestandteil der modernen Softwareentwicklung geworden, dennoch „halluzinieren" sie häufig, indem sie nicht existierende Bibliotheken erfinden. Während frühere Forschungen Bibliotheks-Halluzinationen als Fehlermodus anerkannt haben, ist das Verständnis dafür, wie diese Fehler unter realistischen Nutzungsbedingungen auftreten, begrenzt. Insbesondere bleibt unklar, wie Variationen in Entwickler-Prompts – wie natürliche Sprachbeschreibungen, Tippfehler von Nutzern oder erfundene Bibliotheksnamen – die Rate beeinflussen, mit der LLMs ungültige Imports oder ungültige Aufrufe gültiger Bibliotheken generieren. Diese Halluzinationen bergen erhebliche Risiken, darunter unterbrochene Builds, irreführende Entwickler und die Exposition gegenüber Bedrohungen in der Lieferkette wie „Slopsquatting" (bei der Angreifer Bibliotheken registrieren, die LLMs häufig halluzinieren).

Methodik

Die Autoren präsentieren die erste systematische Studie darüber, wie promptbezogene Variationen auf Benutzerseite Bibliotheks-Halluzinationen über sieben diverse produktionsreife LLMs hinweg beeinflussen (GPT-4o-mini, GPT-5-mini, Ministral-8B, Qwen2.5-Coder, Llama-3.3, DeepSeek-V3.1 und Claude-4.5-Haiku).

Experimentelles Design:
Die Studie nutzt BigCodeBench als Seed-Datensatz und filtert 356 Python-Aufgaben heraus, die externe Bibliotheken verwenden. Die Experimente sind in zwei Hauptkategorien unterteilt:

Experiment 1: Sprachvariationen des Nutzers:
- Datenquelle: Über 20.000 Fragen von Software Recommendations StackExchange (SRSE) wurden analysiert, um gängige Benutzerbeschreibungen zu identifizieren.
- Variationen: Prompts wurden so modifiziert, dass sie adjektivbasierte Beschreibungen (z. B. „schnell", „leichtgewichtig", „beste") und zeitbasierte Beschreibungen (z. B. „aus 2023", „aus 2025") enthielten.
- Ziel: Zu ermitteln, ob natürliche Sprachvariationen Halluzinationen auslösen.
Experiment 2: Kontrollierte Benutzerfehler:
- Fehlertypen: Die Studie führte spezifische Fehler in Prompts ein:
  - Ein-Zeichen-Tippfehler (Bearbeitungsdistanz 1, z. B. numpi für numpy).
  - Mehr-Zeichen-Tippfehler (Bearbeitungsdistanz 2–8, z. B. graphly für plotly).
  - Erfundene Namen/Mitglieder: Komplett nicht existierende Bibliotheken oder Mitglieder, die generiert wurden, um Folgeanfragen nach vorherigen Halluzinationen zu simulieren.
- Ziel: Die Robustheit von LLMs gegenüber Tippfehlern und erfundenen Entitäten zu quantifizieren.

Auswertungs-Pipeline:

Erkennung: Generierter Code wurde mit dem ast-Modul von Python geparst. Bibliotheksnamen wurden gegen den Python Package Index (PyPI) unter Normalisierung verifiziert, und Bibliotheksmember wurden gegen die offizielle Dokumentation der neuesten Bibliotheksversionen verifiziert.
Metriken: Die Studie maß die Response-Halluzinationsrate (RHR) und die Task-Halluzinationsrate (THR).
Zusätzliche Untersuchungen: Die Autoren untersuchten die Wirksamkeit von Prompt-Engineering-Strategien (Chain-of-Thought, Step-Back, Self-Analysis) und testeten die Generalisierbarkeit des Ökosystems unter Verwendung von CodeInsight (JavaScript, Rust) sowie toolgestützter Minderung (PyPI-Existenzprüfungen).

Wichtige Erkenntnisse

1. Sensitivität gegenüber Prompt-Variationen

Adjektive vs. Zeit: Adjektivbasierte Beschreibungen (z. B. „schnell", „open-source") lösten selten Halluzinationen aus (Raten $\approx$ 0 %). Im Gegensatz dazu waren zeitbasierte Prompts ein starker Auslöser. Anfragen nach Bibliotheken „aus 2025" führten bei bis zu 85 % der Aufgaben zu Halluzinationen (speziell für GPT-4o-mini), was deutlich höher ist als bei Anfragen nach „aus 2023".
Benutzerfehler: LLMs zeigten eine geringe Robustheit gegenüber Namensfehlern.
- Ein-Zeichen-Tippfehler lösten bei bis zu 26 % der Aufgaben Halluzinationen aus.
- Mehr-Zeichen-Tippfehler lösten bei bis zu 79 % der Aufgaben Halluzinationen aus.
- Erfundene Bibliotheksnamen wurden bei bis zu 99 % der Aufgaben für bestimmte Modelle akzeptiert (z. B. GPT-5-mini, Ministral-8B), was auf eine Tendenz zur „Schmeichelei" (Sycophancy) hindeutet, bei der das Modell der falschen Prämisse des Nutzers folgt, anstatt sie zu korrigieren.

2. Bibliotheksnamen vs. Member-Halluzinationen

Bibliotheksnamen: Modelle waren sehr anfällig dafür, ganze nicht existierende Bibliotheken zu halluzinieren, wenn sie mit Fehlern oder zeitlichen Einschränkungen konfrontiert wurden.
Bibliotheksmember: Halluzinationen von Membern (Funktionen/Klassen) innerhalb gültiger Bibliotheken waren generell geringer (meist 1 %–5 %), aber dennoch vorhanden. Interessanterweise zeigten neuere Modelle (GPT-5-mini, DeepSeek-V3.1) manchmal höhere Raten an Member-Halluzinationen als ältere, wobei sie oft veraltete Funktionen ohne Versionsangaben vorschlugen.

3. Minderung und Generalisierbarkeit

Prompt-Engineering: Leichte Strategien wie Chain-of-Thought und Step-Back-Prompts waren unzuverlässig und erhöhten die Halluzinationsraten manchmal sogar, indem sie falsches Schlussfolgern verstärkten. Explizite Prüfungen und Self-Analysis zeigten mehr Potenzial, waren aber über die Modelle hinweg inkonsistent.
Tool-Nutzung: Die Bereitstellung eines PyPI-Existenz-Tools reduzierte Halluzinationen erheblich (z. B. sank GPT-4o-mini bei zeitbasierten Prompts auf <3 %), beseitigte sie jedoch nicht. Modelle riefen das Tool oft nicht auf oder ignorierten negative Ergebnisse.
Ökosysteme: Die Muster der Halluzinationen blieben über Python, JavaScript und Rust hinweg bestehen, was darauf hindeutet, dass die Anfälligkeit nicht auf eine einzelne Sprache oder ein Ökosystem beschränkt ist.

Beiträge

Systematische Studie: Die erste feinkörnige Analyse darüber, wie Prompt-Variationen (Sprache und Fehler) Bibliotheks-Halluzinationen beeinflussen und dabei aufdeckt, dass zeitbasierte Formulierungen und Tippfehler kritische Auslöser sind.
Verbindung zwischen Schmeichelei und Typosquatting: Das Papier enthüllt eine neuartige Verbindung zwischen LLM-Verhalten und Risiken in der Lieferkette und zeigt, dass Modelle oft selbstbewusst Bibliotheken halluzinieren, wenn sie auf geringfügige Tippfehler reagieren, was Typosquatting- und Slopsquatting-Angriffe potenziell verstärken könnte.
LIBHALLUBENCH: Einführung eines neuen Benchmarks mit 4.173 gelabelten Prompts, die aus Hochrisiko-Bedingungen abgeleitet sind (jahresbasiert, seltenheitsbasiert und fehlerbasiert), um eine reproduzierbare Evaluierung von Bibliotheks-Halluzinationen zu ermöglichen.
Offene Ressourcen: Veröffentlichung von Code, vollständigen Model-Ausgaben und dem Benchmark, um zukünftige Forschung und die Entwicklung von Minderungsmaßnahmen zu unterstützen.

Bedeutung und Behauptungen

Das Papier argumentiert, dass die Fragilität von LLMs gegenüber natürlichen Prompt-Variationen eine systemische Schwachstelle darstellt. Die Autoren behaupten, dass:

Aktuelle LLMs nicht darauf verlassen werden können, Bibliotheksnamen oder Member zu validieren, selbst wenn Nutzer spezifische (aber falsche) Namen angeben.
Häufige Entwickleranfragen nach „aktuellen" oder „neuesten" Bibliotheken ein primärer Vektor für Halluzinationen sind, unabhängig von Wissensabschneidepunkten.
Bestehende Minderungsstrategien wie Chain-of-Thought für diesen spezifischen Fehlermodus unzureichend sind.
Das Risiko über bloße Codefehler hinausgeht und zu Sicherheitsbedrohungen wird, da die hohe Akzeptanzrate für erfundene Bibliotheken die Übernahme bösartiger Pakete (Slopsquatting) erleichtern könnte.

Die Autoren schließen, dass robuste Abwehrmaßnahmen mehr als nur Prompt-Engineering erfordern; sie benötigen wahrscheinlich Änderungen auf Modellebene, externe Verifizierungsmechanismen und eine Verschiebung darin, wie LLMs mit Unsicherheit bezüglich der Gültigkeit von Bibliotheken umgehen. Die Studie betont, dass die Ergebnisse zwar auf spezifischen Datensätzen und Modellen basieren, die beobachteten Muster jedoch auf ein breiteres, systemisches Problem bei der codegenerierenden Arbeit von LLMs hindeuten.