Ein technologischer Wettlauf in der Code-Security

In den letzten Wochen haben die Präzedenzfälle rund um die KI-Modelle Claude Mythos und GPT-5.6-Sol gezeigt, dass künstliche Intelligenz eigenständig Schwachstellen in komplexer Software finden und zu funktionierenden Angriffsketten verknüpfen kann. Das hat der Öffentlichkeit erstmals klar vor Augen geführt: Angreifer könnten diese Technologie schon in naher Zukunft missbrauchen und für vollautomatische Attacken einsetzen, mit denen klassische, manuelle Security-Forschung nicht mithalten kann.

Genau hier setzen wir an: Seit einigen Monaten entwickeln wir bei proofnet unsere eigene Lösung für automatisierte, KI-gestützte Schwachstellenanalyse von Source Code. In diesem Beitrag zeigen wir, warum wir diesen Weg gehen, wie unser Ansatz aussieht und wo wir aktuell stehen.

Warum klassische Tools an ihre Grenzen stoßen

Etablierte Scanner arbeiten meist mit statischer Muster-Erkennung. Sie sind schnell, aber mit vielen False Positives und blind für alles, was nicht ins bekannte Schema passt. Auch klassische Machine Learning Ansätze wie Graph Neural Networks konnten diese Lücke bisher nicht schließen: ihnen fehlt echtes Codeverständnis, und ihr begrenztes Kontextfenster macht es schwer, Schwachstellen zu erkennen, die sich erst über mehrere Funktionen oder sogar Dateien hinweg zeigen.

Die Antwort: Agentische LLM-Systeme

Moderne Large Language Models (LLMs) schließen diese Lücke: Sie können große Codemengen auf einmal verarbeiten, verstehen Code durch ihr Training mit Fokus auf Code-Generierung und Bugfixes bereits intuitiv und lassen sich als Agenten einsetzen. Das heißt: LLMs können Code interaktiv erkunden, Hypothesen zu Schwachstellen aufstellen und anschließend überprüfen. Dabei können sie analog zu menschlichen Teams orchestriert werden, um Analysen kollaborativ in verschiedenen Experten-Rollen und mit unterschiedlichen Sichtweisen und Tools durchzuführen.

Dass solche Systeme State-of-the-Art sind, zeigen auch Anthropic und Google, die beide mehrstufige, agentische Pipelines zur automatisierten Schwachstellenanalyse veröffentlicht und in der Praxis validiert haben.

Unser Ansatz

Unser System scannt eine ganze Codebase eigenständig und liefert am Ende eine priorisierte Liste möglicher Vulnerabilities inklusive Proof of Concept – bereit für die Bewertung durch einen menschlichen Security-Experten. Wichtig: Unsere Pipeline trifft keine Entscheidungen, sondern übernimmt die aufwändige Such- und Vorsortierarbeit. Das spart im Audit-Prozess wertvolle Zeit und macht Security-Analysen effizienter und ermöglicht schnellere Reaktionen auf identifizierte Schwachstellen.

Das Besondere

Eine unserer wichtigsten Erkenntnisse: Für gute Ergebnisse braucht man keine riesigen Modelle oder große Rechencluster. Mit der richtigen Orchestrierung – einer gestuften Pipeline mit komplementären Analyseschritten – lassen sich auch kleinere, quelloffene Modelle erfolgreich einsetzen. Unser System läuft dadurch vollständig lokal auf bezahlbarer Consumer-Hardware, was höchsten Schutz für Source Code und vertrauliche Daten garantiert. Je nach Anforderung lässt sich die Pipeline auch auf leistungsfähigere Cloud-Modelle skalieren. Die Balance zwischen Leistung, Geschwindigkeit und Datenschutz ist damit flexibel für jeden Anwendungszweck konfigurierbar.

Relevanz für Compliance: Cyber Resilience Act

Regulatorischer Druck, besonders durch den CRA der Europäischen Union, verlangt von Herstellern zunehmend einen kontinuierlichen statt einmaligen Nachweis ihres Schwachstellenmanagements. Eine automatisierte, wiederholbare Source-Code-Analyse liefert genau die Art von laufender, reproduzierbarer Evidenz, die der CRA künftig erwartet. Unsere Pipeline ergänzt damit unser bestehendes Angebot rund um automatisierte Firmware-Analyse, SBOM-Generierung und kontinuierliches CVE-Monitoring.

Wo wir aktuell stehen

Unser System befindet sich aktuell in der Prototyp-Phase und wird kontinuierlich an Open-Source-Projekten erprobt und weiterentwickelt. Kürzliche Verbesserungen haben die False-Positive-Rate bereits spürbar reduziert. In einem ersten Pilotprojekt konnten wir die Pipeline schon innerhalb eines Kundenprojekts einsetzen und damit unsere Effizienz beim Audit steigern.

In unseren Tests hat unser System bereits mehrere bekannte, öffentlich dokumentierte Schwachstellen (CVEs) eigenständig wiederentdeckt. Darüber hinaus sind wir auch auf mögliche bisher unbekannte Schwachstellen gestoßen, die wir aktuell noch sorgfältig aufarbeiten und bei Bedarf in einen verantwortungsvollen Disclosure-Prozess mit den betroffenen Projekten überführen.

Wie es weitergeht

Wir bauen unser System kontinuierlich weiter aus, um es künftig fest in unsere Security-Audits zu integrieren. Unser Ziel: Schwachstellenanalysen nicht nur schneller, sondern auch in größerer Tiefe und Konsistenz anbieten zu können, als es mit klassischer manueller Arbeit möglich wäre.