Live-Webinar auf EnglischWebinar mit Jason Lee, Mi., 14. Okt.Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkAnmelden

Fragen Sie Ihr Repo. Liefern Sie die sichere Version aus.

Stellen Sie in Ihrer IDE eine Sicherheitsfrage; Ihr eigener Code antwortet.

Cloud testen30-minütige Produktführung buchen
  • Claude Code
  • Cursor
  • Windsurf
  • Visual Studio Code
  • JetBrains
  • GitHub Copilot
  • OpenAI Codex
  • GitHub
Cybe Championstorefront main

Sie: Was ist gerade die riskanteste Schwachstelle in /api/auth?

HochRefresh-Token landet im localStorage
Nur erreichbare Findings

Drei Fragen, beantwortet in Ihrem Code.

api/login.tsCybe Champion
  res.cookie("sid", session.rotate(user));  res.json({ refresh: token.issue(user) });

Cybe ChampionCWE-352A01

  • Session: rotiert die SID beim Login. Solide.
  • CSRF: kein Double-Submit auf POST /api/login.
  • Refresh-Token im localStorage der SPA gespeichert.

Beginnen Sie mit einem Repository.

Verbinden Sie GitHub, GitLab, Bitbucket oder Azure DevOps, wählen Sie ein Repository, und der erste Scan startet.

Cloud testen30-minütige Produktführung buchen

Im Detail

Ihre Regeln, aus Ihrem eigenen Code gewonnen.

Es entwirft die Regeln, denen Ihr Code schon folgt. Sie geben sie frei.

  1. 01Er liest Ihren Code.
  2. 02Er formuliert die Regeln.
  3. 03Sie übernehmen, ändern oder verwerfen.
Aus Ihrem Code abgeleitete Regelnstorefront
  • 01 Multi-tenancyEvery query on db.orders filters by tenantIdAngenommen42 of 43 occurrences, 16 files, confidence 94%src/handlers/export.ts:17nicht konform
  • 02 Authorisation ceilingRefunds over €300 require the role finance.managerBearbeitet7 of 8 occurrences, 4 files, confidence 87%src/handlers/refund.ts:22nicht konform
  • 03 Audit loggingEvery payment mutation writes audit.log(actor, amount)Wartet auf Prüfung31 of 34 occurrences, 11 files, confidence 91%src/handlers/payouts.ts:54nicht konform
Die drei Antworten vollständig

Stellen Sie in Ihrer IDE eine Sicherheitsfrage, und die Antwort kommt aus Ihrem eigenen Code, mit der Zeile und dem Fix.

Fragen Sie, und sehen Sie, was der Champion daraus macht.

Cybe Championstorefront main

Sie: Was sind diesen Monat die drei größten Risiken in /api/auth?

Knowledge Graph durchsucht/api/auth

Drei erreichbare Risiken, das schwerste zuerst.

HochRefresh-Token landet im localStorageapi/login.ts:15CWE-922erreichbar über POST /api/login
MittelKeine CSRF-Prüfung im Login-Formularapi/login.ts:12CWE-352erreichbar über POST /api/login
NiedrigPasswort-Reset verrät, welche E-Mails existierenapi/auth/reset.ts:19CWE-204erreichbar über POST /api/auth/reset

Patch anzeigenapi/login.ts

Nur erreichbare Findings

  • Ist dieser Login-Handler sicher?

    Er liest den Graphen, nicht den Diff. Die Session rotiert, die CSRF-Prüfung fehlt, das Refresh-Token landet im localStorage. Er zeigt auf Zeile 15.

  • Bitte für mich beheben.

    Er schreibt die Zeile im Stil Ihres Codes neu: ein httpOnly- und SameSite-Cookie, dazu der Test, der es belegt. Sie übernehmen den Diff.

  • Das darf nie wieder passieren.

    Die Behebung wird zur Regel, durchgesetzt in Claude Code, Cursor und der CI bei jedem weiteren Schritt.

Kein YAML. Ihre Regeln, abgeleitet aus Ihrem eigenen Code.

Der Champion liest Ihr Repository, formuliert die Regeln, denen Ihr Code schon folgt, und zeigt die Zeilen, die dagegen verstoßen.

Bereits verfügbar in Cybe Champion.

Keine KI, die an ein SAST von 2015 geschraubt wurde.

  • Risiko vor dem PR aufgedeckt

    Hotspots, abweichende Kontrollen, fehlende Tests. Der Champion markiert sie in der IDE, während der Code geschrieben wird.

  • Patch-Vorschläge, die der Agent anwenden kann

    Jedes Finding enthält einen funktionierenden Fix, den der Agent vorbereiten kann. PRs per Klick, signiert von Ihrem Bot, abgesichert durch Ihre CI.

  • Sicherheitswissen für die ganze Organisation

    Jeder akzeptierte Fix und jede bestätigte Bewertung fließen in den Graphen ein. Die Organisation baut stetig wachsendes Sicherheitswissen auf, keinen Stapel an Richtlinien.

Vom Schulungskalender zum Learning by Doing.

Jährliche OWASP-Workshops bewegen nichts. Inline-Erklärungen auf jedem PR schon.

  • Jeder Dev bekommt die Senior-Behandlung

    Klartext-Begründung auf jedem Finding, OWASP/CWE-Referenzen einen Klick entfernt. Junior oder Staff, gleiche Tiefe, gleiche Geduld.

  • Security-Kontext im Loop

    Kein 'warten wir auf das Security-Team' mehr. Der Champion antwortet in der IDE, mit einem funktionierenden Fix, bevor der Dev weiterzieht.

  • Lektionen landen im Editor, nicht in einer Kalendereinladung

    Das Warum wird inline erklärt, mit einem funktionierenden Beispiel, genau in dem Moment, in dem der Dev den Bug ausgeliefert hätte. Kein Quartals-Workshop erreicht dieses Timing.

Eine Frage, eine Regel

  • Sie fragen direkt in der IDE

    Schwachstellen, Fixes, Threat Models, OWASP. In Ihren eigenen Worten.

  • Er antwortet im Kontext

    Er liest den Knowledge Graph und zeigt auf die Zeile, samt Fix.

  • Die Antwort wird zur Regel

    Jeder akzeptierte Fix wird im Agenten durchgesetzt, bei jedem weiteren Schritt.

Ihr Code bleibt in Ihrer Region.

Modelle, die wir selbst hosten, und nichts verlässt die Region.

Wo Ihr Code liegtEUUS
  • Standard-ScanIn einen isolierten Container geklont, der nach dem Scan zerstört wird.
  • Cybe Analysis und der Security ChampionBewahren eine Kopie des Codes, seine Git-Historie und einen Knowledge Graph in Ihrer Region auf, auf Anfrage gelöscht.
  • ModelleOpen-Weight-Modelle, die wir in Ihrer Region hosten: Scaleway in der EU, Google Cloud in den USA.
  • KI von DrittanbieternWeder Code noch Prompts gehen an die KI-API eines Drittanbieters.

DSGVO-konform. SOC 2 Type II Audit läuft.

Security und Privacy, eingebaut.

Datenschutz von Haus aus. Selbst gehostete KI-Modelle, keine LLM-API Dritter, die EU- oder US-Region, die Sie bei der Installation wählen, VPC- oder Air-Gap-Betrieb möglich.

  • EU- und US-Datenregionen

    Ihr Code bleibt in Ihrer Region. EU-Kunden arbeiten durchgehend auf EU-Infrastruktur, US-Kunden auf US-Infrastruktur.

  • Kein Training mit Ihrem Code

    Die Modelle sind selbst gehostet. Kundencode wird nie zum Training gemeinsam genutzter Modelle verwendet. Niemals.

  • On-Premise und Air-Gapped

    Regulierte Branchen können den gesamten Stack in ihrer eigenen Infrastruktur betreiben. Derselbe Champion läuft in Ihrer VPC oder vollständig air-gapped, mit mitgelieferten Modellgewichten und ohne ausgehende Verbindungen.

Was Teams fragen, bevor sie installieren

Ersetzt Cybe Security Champion unser menschliches Security-Team?
Nein. Er ersetzt den Engpass, zu dem das menschliche Team geworden ist. Der Champion übernimmt das Review pro PR, die Frage 'Ist das sicher?' direkt in der IDE, die OWASP-Erklärung. Das Security-Team konzentriert sich auf Architektur, Threat Modeling und Incident Response: die Arbeit, die menschliches Urteilsvermögen braucht.
Wie unterscheidet sich das von GitHub Copilot oder generischen KI-Coding-Assistenten?
Copilot schreibt Code. Der Champion ist der Senior-Engineer, der ihn prüft. Er liest Ihren Code Knowledge Graph (Taint-Flows, Verantwortliche, Framework-Konventionen), statt wie ein generisches LLM zu raten. Gleicher Prompt, ganz andere Antwort.
Welche IDEs und Agenten werden unterstützt?
Native Plugins: VS Code, Cursor, Windsurf, JetBrains, Antigravity. Nativer MCP-Server: Claude Code, Gemini CLI, Cline, Continue.dev, Zed. Generisches MCP für alles andere. Eine Installation pro Entwickler, eine Lizenz pro Team.
Wird VibeDefend jemals Modelle mit unserem Code trainieren?
Niemals. Die Modelle sind selbst gehostet, die Modellgewichte gehören CybeDefend, und Ihr Code wird nur in Ihrem Tenant verarbeitet. Kein Kundencode wird zum Training gemeinsam genutzter Modelle verwendet. Das ist eine vertragliche Zusage, keine Einstellung.
Was braucht es, bis unser Team loslegen kann?
Drei Schritte für den ersten Entwickler: per SSO anmelden, IDE-Plugin installieren, auf das Repo verweisen. Der Champion liefert beim nächsten Speichern sein erstes kontextbezogenes Review. Kein YAML, keine Playbooks zu schreiben.