Schwachstellen-Triage, Pfad für Pfad. Rund um die Uhr.
Jeder Alarm als Pfad durch Ihren Code gelesen, dann entschieden.
shop-apiCybe AnalysisDemo-Projekt
KritischManipulation des WarenkorbpreisesCWE-472
Geschäftsregel: Preise kommen aus dem Katalog, nie vom Client.
- POST /checkoutroutes/checkout.ts:18Einstiegspunkt. Der Warenkorb kommt aus dem Browser, Preise inklusive.
- total = sum(items.map((i) => i.price))checkout.service.ts:57Schwachstelle. Die Summe wird aus den Preisen berechnet, die der Client geschickt hat.
- payments.charge(total)payments/stripe.ts:104Sink. Die Karte wird mit dieser Summe belastet.
AusnutzbarPriorität 92Verantwortlich: Payments-Team
Es liest Ihre Anwendung als Graph.
Eine Schwachstelle ist ein Pfad durch Ihren Code. Ihr Fix auch.
Ihr Code als Graph
Es schreibt die Bewertung eines Senior-Analysten.
Eine echte Triage, ungeschnitten.
90 %
der irrelevanten Alerts werden schon während des Scans aussortiert, bevor sie jemand liest.
CybeDefend-Wert
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Reachability
- Not reachable from untrusted input
Beginnen Sie mit einem Repository.
Verbinden Sie GitHub, GitLab, Bitbucket oder Azure DevOps, wählen Sie ein Repository, und der erste Scan startet.
Im Detail
Die vollständige Bewertung
Cybe Analysis liest Ihren Code als Graphen, filtert irrelevante Alarme heraus und schreibt zu den übrigen ein Urteil.
Jede Funktion, jeder Sink und jede Geschäftsregel wird zu einem Knoten. Eine Schwachstelle ist ein Pfad durch diesen Graphen, die Behebung ebenso.
Eine echte Triage-Session, 12 Sekunden, ungeschnitten: Datenfluss, Belege, Erreichbarkeit, Entscheidung.
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Evidence
user_createinserts a new user with predefined, trusted values.- The code is only reachable during database initialization, not from external or untrusted input.
- Sanitizers
- No sanitizers are present.
- Reachability
- Not reachable from untrusted input
- Remediation
- None required: the code is not exploitable in its current context.
- Assigned priority
- Low
Ihr Code bleibt in Ihrer Region.
Modelle, die wir selbst hosten, und nichts verlässt die Region.
Wo Ihr Code liegtEUUS
- Standard-ScanIn einen isolierten Container geklont, der nach dem Scan zerstört wird.
- Cybe Analysis und der Security ChampionBewahren eine Kopie des Codes, seine Git-Historie und einen Knowledge Graph in Ihrer Region auf, auf Anfrage gelöscht.
- ModelleOpen-Weight-Modelle, die wir in Ihrer Region hosten: Scaleway in der EU, Google Cloud in den USA.
- KI von DrittanbieternWeder Code noch Prompts gehen an die KI-API eines Drittanbieters.
DSGVO-konform. SOC 2 Type II Audit läuft.
Cybe Analysis im Detail.
Wie unterscheidet sich Cybe Analysis von einem klassischen SAST-Scanner?
Ein klassisches SAST-Tool meldet jeden Pattern-Match und überlässt Entwicklern das Filtern der 90 % False Positives. Cybe Analysis baut einen Knowledge Graph Ihrer Anwendung (Funktionsaufrufe, Taint-Flow, Framework-Gates) und zeigt nur Findings, die erreichbar, ausnutzbar und in Ihrem Geschäftskontext relevant sind. Die 90 % Rauschen fallen schon während des Scans weg, nicht erst danach.
Wo liegt mein Code? Wird irgendetwas an eine externe API geschickt?
Cybe Analysis läuft auf unserer selbst gehosteten KI-Infrastruktur (EU- oder US-Region, isoliert). Es ruft keine externen LLM-APIs auf (weder OpenAI noch Anthropic noch andere). Ihr Code, Ihre Schwachstellen und die Analyse bleiben in der Region, die Sie bei der Registrierung gewählt haben. Um aus Ihrem Code antworten zu können, bewahrt Cybe Analysis eine Kopie davon und seine Git-Historie in dieser Region auf, auf Anfrage gelöscht. Ein Standard-Scan läuft in einem Container, der nach dem Scan zerstört wird.
Was bedeutet 'Senior-Analyst-Niveau' konkret?
Jedes Finding enthält: einen Risiko-Score (Ausnutzbarkeit + Reachability + Blast Radius + geschäftliche Auswirkung), eine Einschätzung des Behebungsaufwands, einen empfohlenen Verantwortlichen und eine schriftliche Begründung, nach der auch ein Junior-Engineer ohne Eskalation handeln kann. An diesem Ergebnis messen wir uns mit einem erfahrenen AppSec-Engineer.
Ersetzt Cybe Analysis meine bestehenden SAST-/SCA-Tools?
Cybe Analysis arbeitet mit dem, was die Scanner von CybeDefend finden: Die CybeDefend Engine führt Open-Source-Engines wie Opengrep, Gitleaks, Checkov und Trivy mit eigenen Regeln aus, für SAST, SCA, IaC, Container und Secrets. Darüber legt Cybe Analysis eine Schicht aus Reachability und Geschäftskontext: Der Mehrwert liegt in dieser Analyse, nicht im reinen Scan. Teams, die VibeDefend einführen, ersetzen ihr bisheriges SAST/SCA in der Regel komplett: Sie erhalten eine zentrale Datenbasis, einen Deduplizierungs-Graphen und rund 90 % weniger False Positives.
Wie schnell ist die Analyse?
Ein Diff-Scan dauert im Median wenige Sekunden. Ein vollständiger Erst-Scan eines Repos dauert typischerweise einige Minuten. Folgende Läufe analysieren nur geänderte Code-Pfade neu, daher hängen die laufenden Kosten von Ihrer Commit-Frequenz ab, nicht von der Repo-Größe.
Wo steht Cybe Analysis bei SOC 2 und DSGVO?
Die DSGVO-Konformität gilt bereits heute. Das SOC-2-Type-II-Audit läuft, den Bericht erwarten wir in Kürze. Das Testat stellen wir am Tag der Ausstellung unter NDA bereit. Die Datenresidenz ist in jedem Fall strikt: EU-Kunden nutzen die EU-Region, US-Kunden die US-Region, und Findings verlassen nie ihre Region. Für stark regulierte Umgebungen ist ein Self-Hosted-Betrieb möglich.
Was ist der Security Code Knowledge Graph?
Der Security Code Knowledge Graph ist die einheitliche Darstellung Ihrer Codebase bei CybeDefend, als abfragbarer Property Graph. Jede Quelldatei, jede Funktion, jeder Datenfluss, jede Abhängigkeit, jede Infrastrukturressource und jede Secret-Referenz wird zum Knoten; ihre Beziehungen (Aufrufe, Taint-Flows, Imports, Exploit-Pfade) werden zu typisierten Kanten. Bei einem Scan fragen wir diesen Graphen ab, statt Muster in rohem Text zu suchen. Deshalb finden wir dateiübergreifende Taint-Pfade, serviceübergreifende Fehler in der Geschäftslogik und erreichbare CVEs, die dateibezogenes SAST komplett übersieht. Der Graph wird einmal pro Repository berechnet und bei jedem Agent-Diff inkrementell aktualisiert; die P95-Abfragezeit bleibt bei Repos mit 100k LOC unter 1,2 Sekunden. Er ist auch die Grundlage für die Deduplizierung von SAST-, SCA-, IaC-, Container- und Secret-Findings: ein Graph, eine zentrale Datenbasis, keine doppelten Alerts für dieselbe Schwachstelle.