Auf dieser Seite
- Der Kontrollpunkt hat sich verschoben. Fast niemand hat es bemerkt.
- Was gerade ausgeliefert wurde
- Vier Governance-Ebenen, eine Installation
- Ein konkreter Durchgang
- Fünf Agenten, automatisch erkannt
- Die Anleitung: von der Registrierung zu einem gesteuerten Prompt
- Datenschutz: Nichts über Ihren Code geht über die Leitung
- Preise: in jedem Plan enthalten, kostenlose Stufe inklusive
- Was das ändert
Ihr KI-Coding-Agent liefert an einem Tag mehr Code aus, als Ihre Prüfer in einem Monat lesen. Wir haben gerade das Tool ausgeliefert, das diesem Agenten Ihre Business Rules, Ihre Sicherheits-Frameworks und Ihre Hard-Stop-Aktionsliste gibt. In 5 Sekunden installiert.
@cybedefend/[email protected] ist gestern auf npm gelandet. Es ist eine einzige npx-Zeile, die jeden Coding-Agenten auf Ihrem Laptop automatisch erkennt und sie in die CybeDefend-Governance-Ebene verdrahtet. Kein YAML. Kein Deploy. Kein Container zu bauen. Kein SaaS-Endpunkt auf die Whitelist zu setzen. Führen Sie es aus, wählen Sie Ihre Region, wählen Sie Ihre Agenten, und Ihr nächster Prompt ist bereits gesteuert.
Dieser Beitrag erklärt, was das Paket tut, warum es jetzt erscheint und wie Sie in unter sechzig Sekunden von npm zu einem geschützten Prompt kommen.
Der Kontrollpunkt hat sich verschoben. Fast niemand hat es bemerkt.
Fünfzehn Jahre lang lebte AppSec im Pull Request. SAST scannte das Diff. SCA prüfte die Abhängigkeiten. Der Prüfer las die Änderung. Drei Ebenen, alle auf dasselbe Artefakt ausgerichtet: den PR.
Dieses Modell setzt eine wesentliche Sache voraus: dass ein Mensch das Diff liest, bevor es gemergt wird. Es funktioniert im menschlichen Takt. Es funktioniert nicht im Agententakt.
Wenn die Claude-Code-Sitzung eines einzelnen Entwicklers 2.000 Codezeilen an einem Nachmittag ausliefert, zerbricht die PR-Review-Schleife. Manche Teams mergen einfach. Andere Teams bündeln die Ausgabe des Agenten in einen riesigen PR, den kein Mensch tatsächlich von Anfang bis Ende liest. So oder so hat das Diff aufgehört, ein Kontrollpunkt zu sein. Es ist jetzt ein Protokoll.
Der neue Kontrollpunkt ist der Prompt selbst. Welche Regeln Sie auch durchsetzen wollen, Sie müssen sie in die Hände des Agenten legen, bevor er die anstößige Zeile schreibt, nicht danach, in einem Scanner, der eintrifft, sobald der Code bereits auf der Festplatte liegt und der Agent weitergezogen ist.
Das ist die gesamte These hinter VibeDefend, und das ist es, was gestern ausgeliefert wurde.
Was gerade ausgeliefert wurde
VibeDefend ist eine Node-CLI, die als @cybedefend/vibedefend auf npm verteilt wird. Es tut eine Sache: Es installiert die Brücke zwischen Ihrem Coding-Agenten und CybeDefends Governance-Backend. Diese Brücke hat vier Ebenen: Business Rules aus Ihrem Repo gefördert, Security Rules aus den kanonischen Compliance-Frameworks, Action Guards, die gefährliche Aufrufe blockieren, bevor sie ausgelöst werden, und Live Findings, die jedes Scanner-Ergebnis in den Agenten speisen.
Der Installer ist eine einzige Zeile.
npx -y @cybedefend/vibedefend@latest install
Das ist die gesamte Schnittstelle. Der Installer ist interaktiv: Er erkennt automatisch, welche von Claude Code, Cursor, OpenAI Codex, Windsurf und VS Code Copilot auf Ihrer Maschine leben, fragt nach Ihrer Region (EU oder US) und schreibt die MCP-Verdrahtung, die Regel-Hooks und die Doktrin-Dateien an die richtigen Stellen.
Node 18.17 ist die einzige Voraussetzung. Die meisten Leser haben es bereits, weil Claude Code, Cursor und Codex ohnehin mit einem gebündelten Node ausgeliefert werden. Funktioniert auf macOS, Linux und Windows; bash, zsh, fish, PowerShell, cmd und Git Bash verhalten sich alle identisch.
Vier Governance-Ebenen, eine Installation
Sobald VibeDefend verdrahtet ist, beginnen vier unabhängige Ebenen, den Agenten zu beobachten. Jede Ebene behandelt eine andere Bedrohungsfläche, und jede spricht eine andere Form von Regel.
Business Rules
Die Konventionen in Ihrem Repo, die real sind, aber nie aufgeschrieben wurden. Verwenden Sie Decimal128 für Geld. Legen Sie nie einen soft-gelöschten Datensatz offen. Autorisierung läuft über requireOwner, nicht über rohe Mitgliedschaftsprüfungen. VibeDefend fördert sie aus der Art und Weise, wie Ihr Team bereits codet, schlägt sie als explizite Regeln vor, und der Autopilot fördert weiter, während Sie ausliefern. Jede akzeptierte Regel landet im Kontext des Agenten vor der nächsten Bearbeitung.
Security Rules
OWASP Top 10, SOC 2, DSGVO, ISO 27001: die Playbooks, die Ihre Auditoren bereits erwarten, am Tag der Installation geladen. Fügen Sie Ihre eigenen Regeln obendrauf. Der Agent liest jede zutreffende Erinnerung vor jeder Bearbeitung, sodass die Framework-Anforderung Teil des Schreibens wird statt einer Checkbox zum Audit-Zeitpunkt.
Action Guard
sudo rm -rf, rohe process.env-Lesezugriffe auf geheimnisartige Schlüssel, ad-hoc psql-Anweisungen gegen produktionsähnliche Hosts. Action Guard fängt den Aufruf des Agenten ab, bevor er ausgelöst wird. Schalten Sie pro Regel auf Warnen oder Blockieren um, fügen Sie Ihre eigenen verbotenen Muster hinzu, jedes Abfangen landet im Audit-Trail.
Live Findings
Jedes Ergebnis aus CybeDefends Scannern, SAST mit Erreichbarkeit, SCA, Secrets, IaC und CI/CD, ist live im Kontext des Agenten. So schreibt der Agent nicht nur sicheren Code, sondern triagiert und behebt die Schwachstellen, die Sie bereits haben, jeder Fix ein Diff, das Sie genehmigen.
Der Sinn, sie zu trennen, ist, dass sie auf unterschiedliche Arten versagen. Eine durchrutschende Business Rule ist ein Qualitätsfehler: Ihr Code driftet von der Konvention ab, das mentale Modell Ihres Teams wird schwerer zu teilen. Eine durchrutschende Security Rule ist ein Compliance-Fehler: Sie liefern etwas aus, das eine SOC-2-Kontrolle nicht besteht. Ein verfehlter Action Guard ist ein Jetzt-Fehler: Der Agent hat gerade etwas Destruktives auf der Maschine ausgeführt, auf die er Zugriff hatte. VibeDefend handhabt alle vier aus derselben Installation.
Ein konkreter Durchgang
Drei Minuten nach der Installation sieht Ihre Claude-Code-Sitzung etwa so aus.
Sie bitten den Agenten, dem Checkout ein Rabattcode-Feature hinzuzufügen. Der Agent bearbeitet cart-checkout.ts. Bevor die Bearbeitung landet, schiebt VibeDefend die geförderte Regel no-raw-amount-math aus src/billing.ts:14 in den Kontext: "Geldbeträge MÜSSEN Decimal128 verwenden, nie Number." Der Agent wendet sie beim allerersten Schreibvorgang an (total = new Decimal128(cart.sum)), ohne dass Sie ein Wort sagen müssen.
Eine Minute später bitten Sie ihn, die Benutzersuche nach E-Mail zu filtern. Der Agent beginnt, db.query("SELECT * FROM users WHERE email = '" + email + "'") zu entwerfen. VibeDefend matcht owasp-a03-injection (Schwere: hoch), bevor die Zeile fertig ist, und der Agent schreibt mit einer parametrisierten Query um. Wieder haben Sie nichts gesagt.
Später, während er ein Umgebungsproblem debuggt, schlägt der Agent selbstbewusst sudo rm -rf /etc/old-config vor. Action Guard blockiert es mit no-destructive-sudo (Schwere kritisch, standardmäßig aktiv, kann nicht deaktiviert werden), und das Ereignis landet mit einem Zeitstempel und einem Grund in Ihrem CybeDefend-Audit-Trail. Der Agent erhält eine freundliche Ablehnung; Sie erhalten einen Log-Eintrag; nichts geht kaputt.
Keiner dieser Züge wurde von einem Scanner überwacht, der das gemergte Diff liest. Alle drei wurden am Prompt überwacht, von einem Tool, das die richtige Regel bereits zur Hand hatte.
Fünf Agenten, automatisch erkannt
Der Installer deckt die fünf Coding-Agenten ab, die 2026 den Großteil des arbeitenden Marktes halten: Claude Code, Cursor, OpenAI Codex, Windsurf und VS Code Copilot. Er erkennt, welche auf Ihrer Maschine installiert sind, und verdrahtet nur diejenigen, die Sie angehakt lassen. Führen Sie den Installer jederzeit erneut aus, um einen Agenten ein- oder auszuschalten; er ist idempotent.
Die fünf Agenten legen nicht dieselbe Hook-Fläche offen, daher unterscheidet sich die Abdeckung jeder Ebene ein wenig. Claude Code, Cursor und Codex haben die tiefste Integration. Windsurf unterstützt die Schreibseiten-Guards plus einen smarten Fallback für Nicht-Schreib-Tools. VS Code Copilot liefert MCP und die Regelebenen aus; Action Guards stehen auf GitHubs Seite noch aus. Das erneute Ausführen des Installers zieht jeden Agenten herein, der zwischen Releases neue Hook-Flächen ausliefert.
Die Anleitung: von der Registrierung zu einem gesteuerten Prompt
Der schnellste glaubwürdige Weg von "ich habe einen Tweet darüber gesehen" zu "mein Agent ist gesteuert" dauert etwa sechzig Sekunden.
Das Dashboard lebt unter eu.cybedefend.com oder us.cybedefend.com, abhängig von Ihrer Region; Sie wählen bei der Registrierung. Die kostenlose Stufe existiert, keine Karte nötig, und enthält alles, was Sie brauchen, um die vier Ebenen von Anfang bis Ende auszuprobieren. Die UUID steht auf der Projektseite, sobald Sie eine erstellt haben. Die .cybedefend/config.json ist eine einzeilige JSON-Datei, die Sie an der Wurzel jedes Repos ablegen, das Sie überwacht haben wollen:
{ "projectId": "<your-cybedefend-project-uuid>" }
Das ist das gesamte Onboarding. Kein SDK zu vendoren, kein Docker-Image zu pflegen, keine Policy-DSL zu lernen. Der Agent nimmt die Verdrahtung beim nächsten Sitzungsstart auf.
Datenschutz: Nichts über Ihren Code geht über die Leitung
VibeDefend lebt auf Ihrem Laptop, neben Ihrem Agenten. Die Entscheidungen (ob eine Regel auslöst, ob eine Aktion blockiert wird, ob ein gefördertes Muster es wert ist, vorgeschlagen zu werden) geschehen lokal. Nur strukturierte Governance-Metadaten erreichen das CybeDefend-Backend: der Name der ausgelösten Regel, der Dateipfad, auf den sie zeigte, die Schwere, ein Zeitstempel, der Agent, der aufgerufen hat.
Kein Quellcode geht über die Leitung. Keine Prompt-Inhalte gehen über die Leitung. Die geförderten Business Rules werden lokal erzeugt und als einzeilige natürlichsprachliche Aussagen mit einer Dateireferenz an die Plattform geschickt; der Inhalt der Datei wird nie übertragen. Der Audit-Trail sieht die Regel, nie die Codezeile, die sie matchte.
EU- und US-Mandanten sind physisch getrennt. Wählen Sie die Region zum Installationszeitpunkt; der Audit-Trail sitzt im passenden Mandanten. Keine Replikation, kein regionsübergreifender Pfad. Wenn Sie beide brauchen, erstellen Sie zwei Projekte.
Preise: in jedem Plan enthalten, kostenlose Stufe inklusive
VibeDefend ist in jedem CybeDefend-Plan enthalten, die kostenlose Stufe inklusive. Das npm-Paket ist kostenlos, BUSL-1.1-lizenziert und wird am 2030-05-25 zu Apache-2.0. Die kostenpflichtigen Pläne auf der Plattformseite schalten die historische Audit-Trail-Aufbewahrung, die Multi-Team-Regelverwaltung und die Dashboards auf Org-Ebene frei.
Die Absicht ist einfach: Die Reibung, Governance in den Agenten zu setzen, sollte null sein. Die Reibung, sie über eine Organisation zu skalieren, ist dort, wo die kommerzielle Beziehung beginnt.
Was das ändert
Zehn Jahre lang verkaufte AppSec Scanner, die eintrafen, nachdem der Code geschrieben war. Das ergab Sinn, als Menschen den Code schrieben, denn Menschen verlangsamen sich meist, bevor sie mergen. Dieses Modell hinkt dem Workflow jetzt um eine Größenordnung hinterher. Der Agent liefert schneller aus als der Scanner-Zyklus, der Prüfer liest weniger, als der Agent produziert, das Diff ist nicht mehr die Schranke, die es einst war.
Der Kontrollpunkt hat sich zum Prompt verschoben. Die Frage für jedes Team im Jahr 2026 ist, ob ihr AppSec-Stack mitgezogen ist, oder ob sie weiterhin Tools finanzieren, die eine Stufe der Pipeline überwachen, die nicht mehr so wichtig ist.
VibeDefend ist die Antwort, die wir gerade ausgeliefert haben. Es ist nicht die einzig mögliche, und es wird nicht die letzte Form sein, die die Kategorie annimmt. Aber es ist das Erste, das wir gesehen haben, das Sie in 5 Sekunden installieren können, das auf Ihrem Laptop läuft, das jeden wichtigen Coding-Agenten spricht und das Ihnen alle vier Governance-Ebenen auf einmal gibt. Das ist von nun an die Messlatte.
Das vollständige Paket finden Sie unter npmjs.com/package/@cybedefend/vibedefend. Die README und die Support-Matrix leben auf GitHub. Die Produktseite ist unter cybedefend.com/vibedefend. Die Plattform ist unter eu.cybedefend.com und us.cybedefend.com.
Liefern Sie heute Nachmittag ein Feature aus. Sehen Sie, wie Ihre Business Rules im Kontext des Agenten landen. Sagen Sie uns, was wir übersehen haben.
