Mehr Sicherheit im Code durch KI-basiertes Scannen von Schwachstellen

Projektfakten:

• Projektziel: Entwicklung eines KI-basierten Vulnerability-Scanners zur automatisierten Erkennung von Sicherheitslücken in über 60.000 Code-Repositories

• Team: 10 TNG Consultants

• Projektbeginn: März 2026

• Erfolge: Scan von über 60.000 Code-Repositories und Identifikation von bis zu viermal mehr potenziellen Sicherheitslücken im Vergleich zu klassischen statischen Analysetools.

Die Ausgangssituation

Bei einem unserer Kunden war bereits länger klar, dass leistungsfähige LLMs die Suche nach Sicherheitslücken im Code deutlich verändern und neue Möglichkeiten für Angriffe, aber auch für die präventive IT-Sicherheit bieten.

Klassische statische Analysetools wie zum Beispiel CodeQL erkennen Sicherheitslücken anhand definierter Muster, stoßen bei komplexeren Schwachstellen jedoch an Grenzen. Gleichzeitig macht die große Anzahl von über 60.000 Code-Repositories eine umfassende manuelle Prüfung praktisch unmöglich. Unser Kunde wollte daher KI einsetzen, um potenzielle Sicherheitslücken automatisiert über seine gesamte Codebasis hinweg zu identifizieren.

Unser Ziel

Unser Ziel war es, einen KI-basierten Vulnerability-Scanner zu entwickeln, der insbesondere solche Sicherheitslücken identifiziert, die mit klassischen deterministischen Analysetools schwer oder gar nicht zu erkennen sind.

Dabei sollte sich die Lösung nahtlos in die bestehende GitHub-Infrastruktur und die etablierten Workflows des Kunden integrieren. Eine weitere zentrale Anforderung war die Kostenkontrolle: Bei mehreren zehntausend Repositories musste die KI-basierte Analyse nicht nur qualitativ überzeugen, sondern auch wirtschaftlich skalierbar sein.

Unser Vorgehen

Unser zehnköpfiges TNG-Team entwickelte zunächst eine einfache Version des Scanners und integrierte die Scan-Logik in die bestehende GitHub-Infrastruktur des Kunden. Mithilfe von GitHub Actions wurden die Repositories automatisiert bereitgestellt und analysiert. Gefundene Schwachstellen wurden anschließend in GitHub Advanced Security übertragen.

Die erste Version basierte auf einem einfachen agentischen Ansatz. Dabei zeigte sich eine zentrale Einschränkung: Ein einzelner KI-Agent findet relevante Schwachstellen, untersucht große und komplexe Repositories jedoch nicht systematisch genug.

Daher entwickelten wir den Scanner zu einem strukturierten Multi-Agenten-System weiter. Der Scanprozess umfasst:

• die Aufteilung großer Repositories in kleinere Einheiten,

• den Einsatz spezialisierter KI-Agenten, die relevante Dateien identifizieren und nach potenziellen Sicherheitslücken suchen,

• die Validierung der Ergebnisse und Entfernung von Duplikaten sowie

• das Herausfiltern potenzieller False Positives.

Eine besondere Herausforderung stellte die Skalierung dar. Deshalb haben wir verschiedene Modelle und technische Frameworks evaluiert und verglichen, um die Kosten bei gleichbleibender Qualität zu optimieren.

Das Ergebnis

Mittlerweile haben wir nahezu den gesamten Code auf der GitHub-Instanz des Kunden mit unserem KI-basierten Scanner analysiert. Ein besonderer Mehrwert liegt in der semantischen Analyse: Der Scanner erkennt auch komplexere und weniger offensichtliche Sicherheitslücken, die von klassischen musterbasierten Analysetools nicht gefunden werden. Insgesamt konnten dadurch bis zu viermal so viele potenzielle Schwachstellen identifiziert werden.

Die gefundenen Sicherheitslücken werden direkt neben dem jeweiligen Code in GitHub angezeigt. Zusätzlich haben wir Reporting-Lösungen in Business-Intelligence-Tools entwickelt, die Stakeholdern einen übergreifenden Überblick über die Ergebnisse ermöglichen. Die Entwicklungsteams haben bereits damit begonnen, gefundene Sicherheitslücken zu schließen. Das bisherige Feedback hebt insbesondere die Qualität der Ergebnisse hervor.

Auch die Wirtschaftlichkeit der Lösung konnten wir durch kontinuierliches Benchmarking verschiedener Modelle und Frameworks deutlich verbessern. Unter anderem durch den Einsatz von OpenCode anstelle von Claude Code konnten wir den Tokenverbrauch um bis zu 80 Prozent der ursprünglich geschätzten Summe reduzieren, ohne dass wir dabei Qualitätseinbußen hinnehmen mussten.

Aktuell entwickeln wir den Scanner weiter, um die Qualität der Analyse weiter zu steigern und auch noch verstecktere Sicherheitslücken aufzudecken sowie gleichzeitig die Kosten für großflächige Scans zu reduzieren.