Ihr Code stammt aus einer langsameren Welt

Aktuelle KI-gestützte Sicherheitsvorfälle

Monatlich aktualisiert.

Agentic Code Review ist unser KI-gestütztes Secure Code Review: 15 spezialisierte KI-Agenten lesen Ihren Quellcode mit reinem Lesezugriff, ein unabhängiger AI Verifier prüft jeden Befund, und die Ergebnisse werden als Nachweispaket mit einem formalen Eintrag pro Befund dokumentiert. Ein Security Lead aus unserem Team ist für die Ergebnisse verantwortlich. Zu jedem Befund gibt es einen Korrekturvorschlag. Ihr Team oder ein Partner Ihrer Wahl kann ihn umsetzen. Alternativ übernehmen das unsere Expert*innen im nächsten Schritt.

Ein Scanner für statische Codeanalyse gleicht Ihren Code mit bekannten gefährlichen Mustern ab. Das geht schnell und gründlich, doch er versteht nicht, wofür Ihr System da ist. Daher übersieht er Schwachstellen, die nur im Kontext entstehen, und kann einzelne Schwächen nicht zu einem Angriffspfad verbinden. In unserem öffentlichen Benchmark hat ein kostenloser regelbasierter Scanner keine einzige der dokumentierten Schwachstellen gefunden. Wir nutzen trotzdem einen – als Hinweisquelle für die KI-Agenten.

Nein. Ein Penetrationstest greift ein laufendes System an. Wir lesen den Code dahinter und sehen so Schwachstellen, die ein Test von außen nie erreicht. Dazu gehören die Stellen, an denen Open-Source- und Drittanbieterkomponenten auf Ihren Code treffen, und Cloud-Konfigurationen, die als „Infrastructure as Code“ vorliegen. Tests von KI-Systemen selbst, etwa Chatbots und Agenten, bieten wir als ergänzenden Service an.

Können Sie, und es wird einige Schwachstellen finden. Was Sie zurückbekommen, ist die Sicht eines einzelnen Prompts auf Ihren Code: eine lange Liste, für die niemand verantwortlich ist. Agentic Code Review ist kein einzelner Prompt, sondern besteht aus 15 spezialisierten KI-Agenten, die in mehreren Durchläufen nach Schwachstellen suchen. Ein unabhängiger KI-Verifier prüft jeden Befund und regelbasierte Dokumentation macht aus den Ergebnissen Nachweise für Auditor*innen. Gleichzeitig wächst eine Musterbibliothek mit jedem Projekt. Der Unterschied zu einem einfachen KI-Modell liegt also in der Tiefe und darin, wie gründlich jeder Befund verifiziert ist.

Das Modell, das am besten zur Aufgabe passt, oder das, das Sie vorgeben. Das Prüfsystem, Prompts und Musterbibliothek sind unabhängig vom Modell aufgebaut. Deshalb läuft das System mit jedem Modell, wo immer Sie wollen. Das Modell ist zugleich der größte Kostentreiber, also bestimmen Sie die Balance zwischen Leistung und Kosten.

Nur dorthin, wo Sie es wünschen. Die Review läuft in Ihrer Cloud, mit Ihrem bestehenden Abonnement. In einer privaten Umgebung, die wir für Sie einrichten. Oder vollständig offline bei Ihnen vor Ort. Geheime Daten maskieren wir, bevor sie dokumentiert werden.

Gemessen an 20 öffentlichen Code-Repositorys, haben unsere Agenten 70 % davon in einem einzigen Durchlauf gefunden und 95 % nach neun Durchläufen. Der kostenlose KI-Code-Reviewer des nächstplatzierten Frontier-Labs kam auf 55 %. Die Modelle könnten diesen öffentlichen Code im Training gesehen haben. Die Werte sind deshalb eine konservative Untergrenze und keine Garantie für Ihre Codebasis.

Das hängt von der Größe Ihrer Codebasis, den eingesetzten Programmiersprachen und dem gewählten Modell ab. Ein kurzer Scoping-Fragebogen liefert uns alles, was wir für Planung und Angebot brauchen. Sollen unsere Engineers die Lücken auch schließen, dauert es entsprechend länger. Die „Always-on“-Variante läuft, solange sich Ihr Code ändert.

Die Labs bauen hervorragende Modelle. Und wir setzen sie ein. Wir ergänzen das Prüfsystem um das Modell herum: spezialisierte Agenten für jede Sprache und Schwachstellenklasse, einen unabhängigen AI Verifier, Verkettung und Nachweise, geschärft durch jede Codebasis, die wir damit geprüft haben. Es funktioniert mit jedem Modell Ihrer Wahl. So sind Sie nie an Produkt, Preise oder Entscheidungen eines einzelnen Labs gebunden.

Alles: jeder Befund, das Nachweispaket, der Stand der Beseitigung, alle Korrekturen, die wir geschrieben haben, und eine Anleitung, wie Sie die Prüfungen ohne uns weiterführen. Ihren Code und Ihre Befunde verwenden wir nicht für andere Kunden. In unsere Methode fließen nur anonymisierte Muster von Fehlerklassen ein.