Il triage delle vulnerabilità, percorso per percorso. 24/7.
Ogni avviso letto come un percorso nel tuo codice, poi chiuso.
shop-apiCybe AnalysisProgetto dimostrativo
CriticaManipolazione del prezzo del carrelloCWE-472
Regola di business: i prezzi vengono dal catalogo, mai dal client.
- POST /checkoutroutes/checkout.ts:18Punto di ingresso. Il carrello arriva dal browser, prezzi compresi.
- total = sum(items.map((i) => i.price))checkout.service.ts:57Falla. Il totale è calcolato con i prezzi inviati dal client.
- payments.charge(total)payments/stripe.ts:104Sink. La carta viene addebitata di quel totale.
SfruttabilePriorità 92Owner: team pagamenti
Legge la tua applicazione come un grafo.
Una falla è un percorso nel tuo codice. Anche la sua correzione.
Il tuo codice come grafo
Scrive il verdetto di un analista senior.
Un triage reale, senza montaggio.
90%
degli alert irrilevanti scartati durante la scansione stessa, prima che qualcuno li legga.
Dato CybeDefend
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Reachability
- Not reachable from untrusted input
Inizia da un repository.
Collega GitHub, GitLab, Bitbucket o Azure DevOps, scegli un repository e la prima scansione parte.
Nel dettaglio
Il verdetto completo
Cybe Analysis legge il tuo codice come un grafo, scarta gli avvisi irrilevanti e dà un verdetto sul resto.
Ogni funzione, ogni sink e ogni regola di business diventa un nodo. Una falla è un percorso in quel grafo, e anche la correzione lo è.
Una sessione di triage reale, 12 secondi, senza montaggio: il flusso dei dati, le prove, la raggiungibilità, la decisione.
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Evidence
user_createinserts a new user with predefined, trusted values.- The code is only reachable during database initialization, not from external or untrusted input.
- Sanitizers
- No sanitizers are present.
- Reachability
- Not reachable from untrusted input
- Remediation
- None required: the code is not exploitable in its current context.
- Assigned priority
- Low
Il tuo codice resta nella tua regione.
Modelli ospitati da noi, e niente esce dalla regione.
Dove vive il tuo codiceEUUS
- Scansione standardClonato in un container isolato, distrutto a fine scansione.
- Cybe Analysis e il Security ChampionConservano una copia del codice, la sua cronologia git e un knowledge graph nella tua regione, cancellati su richiesta.
- ModelliModelli open-weight ospitati da noi nella tua regione: Scaleway nell'UE, Google Cloud negli Stati Uniti.
- AI di terze partiNé il codice né i prompt vengono inviati a un'API AI di terze parti.
Conforme al GDPR. Audit SOC 2 Type II in corso.
Cybe Analysis, in dettaglio.
In cosa Cybe Analysis differisce da uno scanner SAST tradizionale?
Uno strumento SAST tradizionale segnala ogni corrispondenza di pattern che trova e lascia agli sviluppatori il compito di filtrare il 90% di falsi positivi. Cybe Analysis costruisce un knowledge graph della tua applicazione (chiamate di funzione, taint flow, controlli del framework) e fa emergere solo i finding raggiungibili, sfruttabili e rilevanti per il tuo contesto di business. Il 90% del rumore viene scartato durante la scansione stessa, non dopo.
Dove risiede il mio codice? Viene inviato qualcosa a un'API esterna?
Cybe Analysis gira sulla nostra infrastruttura AI self-hosted (regione UE o USA, isolata). Non chiama API LLM esterne (OpenAI, Anthropic o altre). Il tuo codice, le vulnerabilità e le analisi restano nella regione che scegli in fase di registrazione. Per rispondere a partire dal tuo codice, Cybe Analysis ne conserva una copia e la cronologia git in quella regione, cancellate su richiesta. Una scansione standard gira in un container distrutto a fine scansione.
Cosa significa concretamente 'livello senior analyst'?
Ogni finding arriva con: un punteggio di rischio (sfruttabilità + reachability + blast radius + impatto sul business), una stima della complessità di correzione, un responsabile consigliato e una motivazione scritta che anche un ingegnere junior può seguire senza escalation. È questo il risultato che confrontiamo con il lavoro di un ingegnere AppSec senior.
Cybe Analysis sostituisce i miei tool SAST / SCA esistenti?
Cybe Analysis lavora su ciò che trovano gli scanner di CybeDefend: il CybeDefend Engine esegue motori open source come Opengrep, Gitleaks, Checkov e Trivy con le proprie regole, per SAST, SCA, IaC, container e secret. Cybe Analysis aggiunge al loro output un livello di reachability e contesto di business: il valore sta in questa analisi, non nella scansione grezza. I team che adottano VibeDefend in genere sostituiscono del tutto il loro SAST/SCA tradizionale: ottieni un'unica fonte di verità, un unico grafo di deduplicazione e circa il 90% di falsi positivi in meno.
Quanto è veloce l'analisi?
La scansione di un diff si completa in pochi secondi (valore mediano). Una prima scansione dell'intero repository richiede in genere pochi minuti. Le esecuzioni successive rianalizzano solo i percorsi di codice modificati, quindi il costo a regime dipende dalla frequenza dei tuoi commit, non dalle dimensioni del repository.
A che punto è Cybe Analysis su SOC 2 e GDPR?
La conformità al GDPR è già effettiva. L'audit SOC 2 Type II è in corso e prevediamo di ricevere il report a breve. Inviamo l'attestazione sotto NDA il giorno stesso in cui viene emessa. La residenza dei dati è rigorosa in ogni caso: i clienti UE usano la regione UE, i clienti USA la regione USA e i finding non passano mai da una regione all'altra. Per gli ambienti fortemente regolamentati è disponibile il deployment self-hosted.
Cos'è il Security Code Knowledge Graph?
Il Security Code Knowledge Graph è la rappresentazione unificata della tua codebase secondo CybeDefend: un property graph che puoi interrogare. Ogni file sorgente, funzione, flusso di dati, dipendenza, risorsa di infrastruttura e riferimento a un secret diventa un nodo; le loro relazioni (chiamate, flussi di taint, import, percorsi di exploit) diventano archi tipizzati. Quando parte una scansione interroghiamo questo grafo invece di cercare pattern nel testo grezzo: per questo intercettiamo percorsi di taint su più file, falle di logica di business tra servizi diversi e CVE raggiungibili che il SAST limitato al singolo file non vede affatto. Il grafo viene calcolato una volta per repository e aggiornato in modo incrementale a ogni diff dell'agente, con un tempo di query P95 sotto 1,2 secondi su repo da 100k LOC. Alimenta anche la deduplicazione dei finding SAST, SCA, IaC, container e secret: un solo grafo, un'unica fonte di verità, zero alert duplicati per la stessa falla.