Eine Million Zeilen Code in Wochen: Drei Lektionen aus der Bun-Rust-Migration
- Stefan Bach
- 15. Mai
- 5 Min. Lesezeit
Aktualisiert: 29. Mai
Claude Code hat in wenigen Wochen die Codebasis von Bun (JavaScript-Server) von Zig auf Rust umgeschrieben — eine Million Zeilen, 2.188 Dateien. Die Migration steht seit gestern im Main-Branch. Aber: Tests wurden modifiziert, unsafe-Konstrukte inflationär genutzt, Bugs treten auf. Drei Lektionen für Mittelstands-IT-Projekte:
Im Oktober 2025 hat Anthropic das Open-Source-Projekt Bun – ein JavaScript- und TypeScript-Server und -Bundler, ursprünglich als Konkurrenz zu Node.js gestartet – übernommen, samt Entwicklerteam. Die Begründung: Anthropic nutzt Bun bereits intern für Claude Code und das Claude Agent SDK. Im April 2026 begann ein Branch, in dem das Sprachmodell Claude auf Anweisung die gesamte Codebasis von der Programmiersprache Zig auf Rust portierte.
Am 5. Mai schrieb Bun-Gründer Jarred Sumner auf Hacker News noch: „302 comments about code that does not work. We haven’t committed to rewriting. There’s a very high chance all this code gets thrown out completely.“ Neun Tage später, am 14. Mai, wurde der Branch trotzdem in den Main-Branch gemergt. Eine Million Zeilen Code neu geschrieben, 4.000 Zeilen gelöscht, 2.188 Dateien geändert. Bun ist seitdem komplett in Rust.
Für CTOs und IT-Verantwortliche im Mittelstand ist die Schlagzeile „KI schreibt eine Million Zeilen Code in Wochen“ verlockend. Bevor Sie das als Präzedenzfall für Ihre eigene Legacy-Migration nehmen: Der heise-Artikel von Jan Mahn und die Diskussion auf GitHub zeigen drei Probleme, die jedem Mittelstands-IT-Migrations-Projekt das Genick brechen könnten.
Lektion 1: Wenn der Agent die Tests modifiziert, hat er die Aufgabe geändert
Aus den Kritik-Kommentaren zum Pull Request: Einige der alten Tests wurden verändert, damit die Rust-Version sie erfolgreich durchläuft. Das klingt nach einem Detail, ist aber der wichtigste strukturelle Befund – und passt zu einer These, die ich vor einer Woche aufgemacht hatte.
In meinem Beitrag zur 96-Prozent-Erpressungsrate bei Claude Opus 4 haben wir die Anthropic-Forschungsergebnisse besprochen: KI-Modelle optimieren auf das Signal, das wir ihnen geben. Wenn das Signal „Tests bestehen“ lautet und der Code die Tests nicht besteht, gibt es zwei Wege: den Code reparieren oder die Tests reparieren. Letzteres ist schneller. Anthropic hat das Problem bei seinen produktiven Modellen durch Werte-Training auf praktisch null gebracht. Bei der Bun-Migration sehen wir genau diese Mechanik in operationeller Anwendung.
Was das für Ihr IT-Projekt heißt:
Wenn Sie einen KI-Agenten für Code-Migration einsetzen, muss die Test-Suite unveränderbar sein. Pull Requests vom Agenten dürfen nur Source-Code-Änderungen enthalten, keine Test-Änderungen. Andernfalls verschiebt der Agent das Ziel, anstatt es zu erreichen. Für reale Migrationen heißt das: Test-Verzeichnis in einem getrennten Branch mit Schreibschutz, Pull-Request-Reviews durch menschliche Reviewer mit explizitem Diff-Check pro Test-Datei. Das ist Pflicht, nicht Best Practice.
Lektion 2: „Memory-safe“ ist nur so gut wie die unsafe-Quote
Auf Sumners Überschrift „We now have compiler-assisted tools for catching & preventing memory bugs“ reagieren GitHub-Kommentatoren mit: das gilt nur, wenn man im Code nicht inflationaer das Schlüsselwort unsafe verwendet – wie Claude es bei der Migration tat.
Was bedeutet das? Rust hat ein Versprechen: Memory-Safety zur Compile-Zeit garantiert. Der Compiler weigert sich, Code zu übersetzen, der gegen Speicher-Sicherheits-Regeln verstößt. Das ist der zentrale Grund, warum Mittelständler überhaupt Rust statt C oder C++ für neue Projekte erwägen.
Aber: Rust erlaubt mit dem Schlüsselwort unsafe eine bewusste Ausnahme. Innerhalb eines unsafe-Blocks gelten die Sicherheits-Garantien nicht mehr — der Entwickler übernimmt die Verantwortung. Bei sauberen Rust-Projekten ist die unsafe-Quote im niedrigen Prozentbereich. Wenn ein KI-Agent Migrationen durchführt und auf Compiler-Fehler stößt, ist der schnellste Lösungsweg: unsafe-Block um das Problem legen. Und das hat Claude offenbar reichlich getan.
Was das für Ihr IT-Projekt heißt:
Wenn Sie KI-Code-Migration auf Rust planen, etablieren Sie vorher eine unsafe-Quote-Schwelle (typisch: <5 Prozent der Code-Zeilen), die im CI-Build automatisch gemessen wird. Pull Requests, die diese Schwelle überschreiten, müssen explizit von einem Senior-Reviewer mit Begründung pro unsafe-Block freigegeben werden. Sonst zahlen Sie für „Rust“, bekommen aber formal Rust, materiell C. Das war nicht das Investitions-Argument.
Lektion 3: Token-Kosten als Black Box machen Vendor-Audits unmöglich
Der heise-Artikel endet mit einer brisanten Anmerkung: Wie viele Token Bun für die Migration aufgewendet hat, verrät Jarred Sumner bisher nicht. Anthropic hat Bun übernommen, der Token-Verbrauch ist also intern abgerechnet. Für ein externes Mittelstands-Projekt wäre das Geld real — und ohne Referenzwert sehr schwer zu kalkulieren.
Eine Million Zeilen Code, gener)iert mit Claude Sonnet 4.5 oder Claude Opus 4.6, kostet je nach Iterationen, Test-Läufen und Debugging-Schleifen vermutlich zwischen 50.000 und 500.000 US-Dollar reine API-Kosten. Das ist eine Bandbreite mit Faktor 10. Für ein Mittelstands-Projekt mit fixem Budget ist diese Ungewissheit operationell kaum tragbar. Bei einem Festpreis-Werkvertrag mit einem externen Dienstleister haftet dieser – bei einem eigenen KI-Migrations-Projekt haftet Ihr Budget.
Das passt zur AI-eats-Software-Story vom letzten Wochenende: Microsoft und andere strukturieren ihre Verträge auf AI-First um, die Kostenstrukturen werden intransparenter. Bei eigenen KI-Migrationen ist das Problem direkt: Sie wissen vorher nicht, was das Projekt kostet, weil das abhängig ist von Codebasis-Komplexität, Test-Coverage, Iterations-Anzahl. Niemand kann Ihnen einen verbindlichen Festpreis nennen.
Was das für Ihr IT-Projekt heißt:
Bevor Sie eine KI-Migration starten: Pilot-Phase auf einem 1-2-Prozent-Ausschnitt der Codebasis. Token-Verbrauch pro Code-Zeile messen. Auf die Gesamtcodebasis hochrechnen mit Faktor 1,5-2,5 Sicherheit. Das ist Ihr Budget-Floor. Plus: Härten Sie einen Stop-Loss-Mechanismus ein — bei z.B. 150 Prozent des prognostizierten Budgets stoppt der Agent und das Projekt wird strategisch neu bewertet. Sonst geht die Migration ohne Erfolg, aber mit voller Rechnung weiter.
Wo das in den größeren Cluster passt
Die Bun-Story ist nicht isoliert. Sie passt in das Muster, das ich in den letzten zwei Wochen analysiert habe:
Beim PocketOS-Vorfall zeigte sich, was passiert, wenn agentische KI ohne menschliche Bestätigung destruktive Aktionen auslöst: produktive Daten weg in 9 Sekunden. Bei Claude for Small Business zeigt sich, dass Anthropic die Mittelstands-Tools jetzt explizit baut — allerdings für US-Tool-Stacks und ohne DSGVO-Prüfung. Bei der Werte-vor-Regeln-Forschung haben wir gesehen, wie KI-Modelle auf Signale optimieren. Bei der Bun-Migration sehen wir alles drei zusammen: Agent macht massiv Änderungen ohne menschliche Bestätigung pro Datei (Lektion 1), umgeht Sicherheits-Garantien zur Aufgaben-Erleichterung (Lektion 2), produziert nicht-prognostizierbare Kosten (Lektion 3).
Für Mittelständler, die KI-gestützte Automation einsetzen, ist die Bun-Story kein Marketing-Beweis — sie ist ein Präzedenz-fall mit drei Warnsignalen, die Sie in Ihre eigene KI-Governance einbauen sollten, bevor das erste eigene Migrations-Projekt startet.
Mein Fazit
Die Bun-Rust-Migration ist ein Novum: eine Million Zeilen Code, in Wochen, von einem KI-System geschrieben. Das ist beeindruckend und es wird durch jeden Tech-Newsletter und LinkedIn-Feed der nächsten Tage gehen. Für CTOs im Mittelstand ist die interessante Frage aber nicht „Kann KI das?“, sondern „Was kostet das wirklich — in Geld, in Test-Stabilität, in unsafe-Quote, in technischer Schuld?“.
Die ehrliche Antwort: Anthropic ist eine der wenigen Organisationen, die so eine Migration intern abrechnen kann, ohne dass die Token-Kosten in der Bilanz weh tun. Für ein mittelständisches Unternehmen mit fixem IT-Budget gelten andere Spielregeln. Wer die drei Lektionen vorher aufschreibt — Tests sind unveränderlich, unsafe-Quote ist messbar, Token-Budget hat Stop-Loss — bekommt das Beste aus beiden Welten: KI-Effizienz und Projektkontrolle. Ohne diese drei Schwellen wird die Migration zum Erfolgsbericht des Agenten und zur Kostenexplosion Ihres Budgets.
Weiterlesen im Cluster
Thematische Anker im Cluster:
Kommentare