Schwachstellen-Triage auf Senior-Analyst-Niveau. Rund um die Uhr.

Ein klassisches SAST-Tool meldet jeden Pattern-Match und überlässt Entwicklern das Filtern der 90 % False Positives. Cybe Analysis baut einen Knowledge Graph Ihrer Anwendung (Funktionsaufrufe, Taint-Flow, Framework-Gates) und zeigt nur Findings, die erreichbar, ausnutzbar und in Ihrem Geschäftskontext relevant sind. Die 90 % Rauschen fallen schon während des Scans weg, nicht erst danach.

Cybe Analysis läuft auf unserer selbst gehosteten KI-Infrastruktur (EU- oder US-Region, isoliert). Es ruft keine externen LLM-APIs auf (weder OpenAI noch Anthropic noch andere). Ihr Code, Ihre Schwachstellen und die Analyse bleiben in der Region, die Sie bei der Registrierung gewählt haben.

Jedes Finding enthält: einen Risiko-Score (Ausnutzbarkeit + Reachability + Blast Radius + geschäftliche Auswirkung), eine Einschätzung des Behebungsaufwands, einen empfohlenen Verantwortlichen und eine schriftliche Begründung, nach der auch ein Junior-Engineer ohne Eskalation handeln kann. An diesem Ergebnis messen wir uns mit einem erfahrenen AppSec-Engineer.

Cybe Analysis läuft auf den eigenen Scannern von CybeDefend, intern entwickelten Engines für SAST, SCA, IaC, Container und Secrets, und legt eine Schicht aus Reachability und Geschäftskontext über deren Ergebnisse. Der Mehrwert liegt in der Analyse auf unseren Scannern, nicht im Import von SARIF-Dateien anderer Anbieter. Teams, die VibeDefend einführen, ersetzen ihr bisheriges SAST/SCA in der Regel komplett: Sie erhalten eine zentrale Datenbasis, einen Deduplizierungs-Graphen und rund 90 % weniger False Positives.

Ein Diff-Scan dauert im Median wenige Sekunden. Ein vollständiger Erst-Scan eines Repos dauert typischerweise einige Minuten. Folgende Läufe analysieren nur geänderte Code-Pfade neu, daher hängen die laufenden Kosten von Ihrer Commit-Frequenz ab, nicht von der Repo-Größe.

Die DSGVO-Konformität gilt bereits heute. Das SOC-2-Type-II-Audit läuft, den Bericht erwarten wir in Kürze. Das Testat stellen wir am Tag der Ausstellung unter NDA bereit. Die Datenresidenz ist in jedem Fall strikt: EU-Kunden nutzen die EU-Region, US-Kunden die US-Region, und Findings verlassen nie ihre Region. Für stark regulierte Umgebungen ist ein Self-Hosted-Betrieb möglich.

Der Security Code Knowledge Graph ist die einheitliche Darstellung Ihrer Codebase bei CybeDefend, als abfragbarer Property Graph. Jede Quelldatei, jede Funktion, jeder Datenfluss, jede Abhängigkeit, jede Infrastrukturressource und jede Secret-Referenz wird zum Knoten; ihre Beziehungen (Aufrufe, Taint-Flows, Imports, Exploit-Pfade) werden zu typisierten Kanten. Bei einem Scan fragen wir diesen Graphen ab, statt Muster in rohem Text zu suchen. Deshalb finden wir dateiübergreifende Taint-Pfade, serviceübergreifende Fehler in der Geschäftslogik und erreichbare CVEs, die dateibezogenes SAST komplett übersieht. Der Graph wird einmal pro Repository berechnet und bei jedem Agent-Diff inkrementell aktualisiert; die P95-Abfragezeit bleibt bei Repos mit 100k LOC unter 1,2 Sekunden. Er ist auch die Grundlage für die Deduplizierung von SAST-, SCA-, IaC-, Container- und Secret-Findings: ein Graph, eine zentrale Datenbasis, keine doppelten Alerts für dieselbe Schwachstelle.