Sangfor AI erzielte kürzlich herausragende Ergebnisse auf CyberGym , einem international anerkannten Benchmark zur Bewertung von KI-Sicherheitsfähigkeiten. Sangfor AI bewältigte die gesamte Bandbreite anspruchsvoller Schwachstellenanalysen, die ARVO und OSS-Fuzz umfassten, und löste 1.301 der 1.507 Aufgaben erfolgreich, was einer Erfolgsquote von 86,3 % entspricht. In dieser Evaluierung konkurrierte Sangfor AI mit Modellen und Agenten führender globaler KI-Anbieter wie OpenAI, Anthropic und Meta und erreichte schließlich einen der ersten vier Plätze weltweit.
Als Maßstab für die Bewertung von KI-Sicherheit geht CyberGym über traditionelle statische oder kleinskalige theoretische Tests hinaus und konzentriert sich auf komplexe, reale Herausforderungen. Dabei werden zahlreiche gängige Open-Source-Softwareprojekte sowie hochkomplexe, historisch bekannte Schwachstellen (z. B. ARVO und OSS-Fuzz) abgedeckt. CyberGym testet die Leistungsfähigkeit großer Modelle und Sicherheitsagenten in den Bereichen logisches Denken, Reproduktion von Schwachstellen und Proof-of-Concept-Validierung in umfangreichen Codebasen, komplexen Kontexten und mehrstufigen Angriffsumgebungen. Dank seiner engen Anlehnung an reale industrielle Verteidigungsszenarien und strenge Verifizierungsstandards gilt CyberGym weltweit als eine der renommiertesten und maßgeblichsten Testumgebungen zur Bewertung der praktischen Einsatzfähigkeit von Code-Sicherheitsmodellen.
Die Architektur hinter den 86,3 %: Agentenschwarm-Kollaboration
Die Suche nach Sicherheitslücken beschränkt sich nicht auf eine einmalige Codeanalyse oder die Erstellung von Proof-of-Concepts. Vielmehr handelt es sich um einen Forschungsprozess, der kontinuierlich Hypothesen aufstellt, Beweise sammelt, falsche Ansätze ausschließt und unter unvollständigen Informationen zu Schlussfolgerungen gelangt. Während ein einzelnes Modell lokale Schlussfolgerungen ziehen kann, erfordert die stabile Handhabung komplexer Suchketten, paralleler Hypothesen und strenger Validierung einen Systemmechanismus, der diese Fähigkeiten organisiert, speichert und einschränkt. Anstatt sich auf einfache probabilistische Stapelung zu verlassen, entwickelte Sangfor AI als Pionier eine kollaborative „Agentenschwarm“-Architektur und führte einen rigorosen Mechanismus zur Beweisführung ein. Dies gewährleistet, dass jeder Schritt der Sicherheitslückenuntersuchung transparent und glaubwürdig bleibt.
- Exploration: Der Agentenschwarm erweitert die Suche durch unabhängige, klar abgegrenzte Untersuchungen zu unterschiedlichen Sicherheitshypothesen. Dadurch können komplementäre Erklärungen parallel und ohne gegenseitige Beeinflussung geprüft werden, sodass eine unbegründete Annahme nicht stillschweigend zu einer gemeinsamen Prämisse wird.
- Beweisführung: Die Ermittlungen werden anhand von Beweismitteln und nicht anhand vollständiger Gesprächsverläufe koordiniert. Sowohl bestätigte Beobachtungen als auch widerlegte Argumentationsketten bleiben verfügbar – das bedeutet, dass Beweismittel über mehrere Ermittlungsrunden hinweg erhalten bleiben, sodass falsche Argumentationsketten nicht erneut aufgedeckt werden müssen.
- Beurteilung: Ein Koordinator nutzt den sich entwickelnden Beweisstand, um zu bestimmen, welche Hypothesen weiterhin tragfähig sind, welche Fragen ungeklärt bleiben und wo weitere Untersuchungen gerechtfertigt sind. Aufeinanderfolgende Runden führen somit zu einer evidenzbasierten Reduzierung des Suchraums.
- Überprüfung: Nur wenn die Beweislage eine konkrete Auslösestrategie stützt, erstellt das System einen Kandidateneintrag und übermittelt ihn zur Überprüfung durch einen Angreifer. Die Überprüfung hinterfragt sowohl die Reproduzierbarkeit des beobachteten Fehlers als auch dessen Zusammenhang mit der zugewiesenen Schwachstelle. Ein abgelehnter Kandidat kann zur Neuausrichtung der Untersuchung verwendet werden, wodurch ein negatives Urteil zu einer Einschränkung für den nächsten Suchschritt wird. Nur ein Kandidat, der diese strenge Überprüfung übersteht, wird zum endgültigen Sicherheitsversprechen des Systems.
Wie im technischen Entwurf des Projektteams betont wurde: „Hypothesen erweitern die Suche. Beweise bestimmen die Schlussfolgerung.“ Dieser Mechanismus ermöglicht es dem System, mehrere Hypothesen umfassend zu untersuchen und gleichzeitig strenge Beweisanforderungen zu erfüllen, bevor Schlussfolgerungen gezogen werden. Letztendlich erzielte dieser Ansatz eine Erfolgsquote von 87,2 % bei ARVO-Aufgaben, 77,7 % bei OSS-Fuzz-Aufgaben und eine Gesamterfolgsquote von 86,3 %.
Integration von Innovationen in die Unternehmensentwicklung
Angesichts der rasanten Fortschritte im Bereich der KI nutzen Angreifer diese Technologien, um die Hürden für die Schwachstellenanalyse und -ausnutzung drastisch zu senken und das Zeitfenster von der Fehlerentdeckung bis zur großflächigen Ausnutzung zu verkürzen. Für Unternehmen ist es daher unerlässlich, Schwachstellen zu identifizieren, zu validieren und zu beheben, bevor Angreifer dies tun. Folglich muss sich das traditionelle, auf Regelvergleichen basierende SAST (Static Application Security Testing) rasch zu Sicherheitsagenten weiterentwickeln, die über autonomes Denken, Codeverständnis, Geschäftslogikanalyse und Schwachstellenvalidierung verfügen. Diese neuen Sicherheitsagenten müssen nicht nur herkömmliche Schwachstellen wie SQL-Injection und Befehlsausführung präzise identifizieren, sondern auch komplexe Geschäftsprozesse tiefgehend verstehen, um risikoreiche Probleme – wie fehlerhafte Zugriffskontrolle und Authentifizierungsumgehungen – aufzudecken, die mit herkömmlichen Tools nur schwer zu erfassen sind. Gleichzeitig ist der Einsatz großer Modelle für bahnbrechende Fortschritte bei KI-gestützten Sicherheitssystemen der Schlüssel, um die Initiative im Bereich der Codesicherheit zu behalten.
Die Platzierung auf der CyberGym-Rangliste ist weit mehr als nur ein hervorragender Benchmark; sie demonstriert die praktischen Fähigkeiten von KI-Sicherheitsagenten in realen, unternehmensweiten Code-Sicherheitsszenarien. Sangfor AI stärkt damit seine gesamte Produktlinie, integriert sich tief in den Entwicklungszyklus von Unternehmen und bietet Nutzern einen echten Mehrwert.
- Verbesserung der Schwachstellenerkennung: Die Einschränkungen der traditionellen SAST werden effektiv überwunden, indem Geschäftslogikfehler, Rechteausweitungen und Authentifizierungsumgehungen umfassend identifiziert werden, wodurch die Code-Sicherheitsabdeckung deutlich erweitert wird.
- Reduzierung der Kosten für manuelle Audits: Nutzung von KI zur Automatisierung des Codeverständnisses, der dateiübergreifenden Korrelationsanalyse, der Angriffspfadanalyse und der Risikovalidierung, wodurch der manuelle Arbeitsaufwand für Sicherheitsexperten erheblich reduziert wird.
- Minimierung von Fehlalarmen und Steigerung der Effizienz: Durch den Einsatz mehrstufiger Schlussfolgerungen und strenger Mechanismen zur Validierung von Beweisen werden die Fehlalarmraten gesenkt, sodass sich die Entwickler auf Risiken konzentrieren können, die tatsächlich einer Behebung bedürfen, und unwirksame Änderungen vermeiden können.
- Verkürzung des Entwicklungszyklus: Verlagerung von Sicherheitstests in die Codierungsphase und CI/CD-Pipelines, um eine „automatische Prüfung beim Code-Commit“ zu erreichen, wodurch Nachbearbeitungskosten in späten Phasen reduziert und die Geschäftseinführung beschleunigt werden.
- Verbesserung der allgemeinen Unternehmenssicherheit: Wir helfen Unternehmen, bereits frühzeitig im Entwicklungsprozess stärkere Sicherheitsvorkehrungen zu treffen, wodurch Compliance- und finanzielle Risiken durch Datenpannen und Geschäftsunterbrechungen reduziert und gleichzeitig der digitale Betrieb geschützt wird.
Für Unternehmensanwender geht der Kernnutzen von KI-Sicherheitsagenten weit über das bloße „Finden von mehr Fehlern“ hinaus. Er liegt darin, einen synchronen Sprung sowohl in der Entwicklungseffizienz als auch in der Codesicherheit durch höhere Genauigkeit, geringeren manuellen Aufwand und schnellere Reaktionsfähigkeit zu erreichen.
Diese herausragende Leistung als eine der führenden KI-Sicherheitslösungen Chinas im CyberGym-Evaluierungstest markiert einen wichtigen Meilenstein für Sangfor AI auf dem Weg zu intelligenter Codesicherheit. Auch in Zukunft werden wir Innovationen im Bereich der Sicherheitstechnologien für große Modelle vorantreiben, Spitzentechnologien in praktische Produktivität für Unternehmensszenarien umsetzen und die digitale Transformation für jeden Nutzer einfacher und sicherer gestalten.
