Evo Agentic AppSec: Sicherheit, die mit der KI-Entwicklung Schritt hält

KI verändert die Entwicklung von Software. Coding-Agenten produzieren mehr Code, als Teams überprüfen können, und aktuelle Modelle verursachen pro Codezeile ein Mehrfaches an Schwachstellen im Vergleich zu menschlichen Entwicklern. Viele dieser Schwachstellen betreffen Geschäftslogik, Zugriffskontrolle und Authentifizierung – Bereiche, für die musterbasierte Scanner nur begrenzte Einblicke bieten.

Die meisten Sicherheitsteams waren schon vor all dem im Rückstand. Sie werden mit Befunden überflutet, von denen viele nur Rauschen sind, und müssen gleichzeitig einen Rückstand an latentem Risiko bewältigen. Angreifer nutzen KI, um Schwachstellen aufzuspüren, weniger schwerwiegende Probleme zu größeren Exploits zu kombinieren und Angriffe zu beschleunigen. Im Oktober 2026 zeigten die Daten von Snyk rund acht neu eingeführte Schwachstellen pro behobener Schwachstelle. KI-gestützte Entwicklung verschärft dieses Ungleichgewicht weiter. Und die ausführlichen Sicherheitsprüfungen, die Fehler in der Geschäftslogik aufdecken, erfordern so viel Zeit und Kontext, dass die meisten Teams sie nur einmal für eine Handvoll kritischer Anwendungen durchführen.

Angriffe auf die Software-Supply-Chain verschärfen das Problem. Bösartige Pakete sind inzwischen für die meisten Zero-Day-Schwachstellen in Open-Source-Software verantwortlich. 2026 gab es mehr als 20 aufsehenerregende Angriffe, und das Wachstum dürfte im Jahresvergleich über 600 % liegen. Ein bösartiges Paket kann Zugangsdaten bereits während der Installation stehlen – noch bevor ein Pull Request oder CI-Scan ausgeführt wird. Coding-Agenten können solche Pakete einführen, ohne ihre Sicherheit zu prüfen.

Sicherheit muss mit der heutigen Softwareentwicklung Schritt halten und Risiken angehen, bevor Code in die Überprüfung gelangt.

Der Pull-Request-Scan reicht allein nicht mehr aus  

Scans von Pull Requests bleiben eine wichtige Sicherheitsmaßnahme. Allein können sie jedoch nicht jedes Risiko abdecken – insbesondere dann nicht, wenn kontinuierlich Code generiert wird und bösartige Abhängigkeiten Schaden anrichten können, bevor ein Scan beginnt.

Application Security muss an drei Stellen zum Einsatz kommen: mit Prüfungen im Coding-Workflow, schnellen deterministischen Scans bei jeder Änderung in CI und einer tiefergehenden Analyse der gesamten Anwendung in regelmäßigen Abständen. Diese Analyse muss neben bekannten Schwachstellenmustern auch Geschäftslogik und Anwendungskontext berücksichtigen.

Mehr Probleme zu finden ist nur dann hilfreich, wenn Teams auch handeln können. Prävention und Behebung müssen ebenfalls skalierbar sein – mit klaren Richtlinien dazu, was blockiert, was behoben und was von Menschen überprüft werden muss. Vorgeschlagene Korrekturen müssen unabhängig validiert werden, bevor Teams sie übernehmen.

Die Lösung ist nicht noch ein Scanner. Es ist das Sicherheitsprogramm – ausgeführt von Agenten und verantwortet von Ihrem Team. 

Evo Agentic AppSec stellt sich vor

Evo Agentic AppSec ist ein Team von Sicherheitsagenten, das die Aufgaben Ihres Application-Security-Programms übernimmt. So kann sich Ihr Team auf Richtlinien und Entscheidungen konzentrieren. Die Lösung vereint verschiedene Funktionen, mit denen Teams Application Security kontinuierlich verwalten können – von der Bedrohungsanalyse und Prävention über Erkennung und Priorisierung bis hin zu Behebung und Überprüfung.

Die Lösung unterstützt Teams dabei, Bedrohungen und Sicherheitsmaßnahmen einer Anwendung zu bewerten, Schwachstellen zu erkennen, Korrekturen zu priorisieren und Ergebnisse zu validieren. Die Agenten arbeiten während der Entwicklung mit neuem Code, helfen dabei, neue Probleme zu verhindern und die Installation bösartiger Pakete zu blockieren, und prüfen auch bereits veröffentlichte Anwendungen – damit der Rückstand tatsächlich kleiner wird. 

Snyks Sicherheitsinformationen liefern den Kontext für diese Arbeit. Sie vereinen zehn Jahre deterministischer Bewertungen mit Signalen wie Erreichbarkeit, Ausnutzbarkeit, Manipulierbarkeit und den Ergebnissen von Korrekturen. Dieser Kontext hilft Teams, wichtige Probleme vom Rauschen zu unterscheiden und aus einer vorgeschlagenen Änderung eine Korrektur zu machen, die das Team einsetzen kann.

Im VulnBump, Snyks neuesten Benchmark für echte Abhängigkeits-Upgrades, erstellte Evo Remediation Agent in 90 % der Fälle zusammenführbare Korrekturen. Ohne den Snyk-Kontext erzielte dasselbe Modell 59,6 %. Eine zusammenführbare Korrektur behebt die Schwachstelle und sorgt dafür, dass das Projekt weiterhin erstellt werden kann.

Die unabhängige Überprüfung ist ein zentraler Bestandteil dieses Ansatzes. Deterministische Engines prüfen vorgeschlagene Korrekturen, statt sich allein auf das Modell zu verlassen, das sie erstellt hat. Teams legen die Richtlinien und Abnahmekriterien fest, die den Prozess steuern.

Agentic AppSec ist die nächste Lösung, die zu Evo kommt. Evo ist der Teil der Snyk-Plattform, der Teams dabei unterstützt, sowohl die von ihnen entwickelten Anwendungen als auch die von ihnen eingesetzten KI-Agenten abzusichern.

So funktioniert es

Evo Agentic AppSec vereint ein Team von Agenten mit spezifischen Aufgaben:

• Evo Agentic Security Review bewertet Bedrohungen und Sicherheitsmaßnahmen einer Anwendung und liefert beleggestützte Ergebnisse sowie Empfehlungen zur Behebung. Jetzt lässt sich diese tiefgehende Prüfung auf jede Anwendung ausweiten – ohne Ihr Team vergrößern zu müssen.

• Evo Code Scanning Agent erkennt Fehler in der Geschäftslogik und Autorisierung, die herkömmlichen Scannern entgehen.

• Snyk Secrets erkennt offengelegte Geheimnisse in herkömmlichen und KI-gestützten Entwicklungsabläufen.

• Evo Remediation Agent behebt Probleme in neuem Code und im bestehenden Rückstand. Zum Start liegt der Schwerpunkt auf Problemen mit Abhängigkeiten von Drittanbietern.

• Evo Dependency Firewall blockiert bösartige Pakete und Pakete, die gegen Richtlinien verstoßen, bereits bei der Installation – noch bevor ein Code-Scan zum Einsatz kommt. Sie müssen Ihren Agenten nicht sagen, dass sie bei der Auswahl installierter Pakete vorsichtig sein sollen: Standardmäßig beziehen sie Pakete aus vertrauenswürdigen Quellen.

Evo Continuous Offensive Security führt Angriffstests durch, um die Abwehrmaßnahmen der Anwendung und die Wirksamkeit der Behebung weiter zu überprüfen.

Gemeinsam helfen diese Funktionen Teams, die Sicherheitsabdeckung auszuweiten und mehr Probleme zu beheben – bei gleichzeitiger menschlicher Aufsicht und voller Kontrolle über Richtlinien, Prioritäten und Freigaben.

Evo Agentic AppSec baut auf Snyk Code und Snyk Open Source auf. Die Engines, mit denen Teams bereits Code und Abhängigkeiten scannen, liefern die zugrunde liegende Analyse und validieren Befunde und vorgeschlagene Korrekturen unabhängig.

Teams mehr Kapazitäten verschaffen

Je mehr Entwicklungs- und Sicherheitsaufgaben automatisiert werden, desto wichtiger werden klare Aufsicht und Verantwortlichkeit.

Entwickler können mehr Zeit darauf verwenden, vorgeschlagene Änderungen zu überprüfen. AppSec-Teams können sich auf Sicherheitsrichtlinien, Ausnahmen und Risiken konzentrieren, die ihr Urteilsvermögen erfordern. CISOs erhalten Einblick in ein kontinuierlich laufendes Programm – mit Angriffstests und einem Prüfpfad automatisierter Entscheidungen.

Für Unternehmen ohne dedizierte AppSec-Funktion können diese Möglichkeiten dazu beitragen, einheitliche Sicherheitspraktiken einzuführen und den manuellen Aufwand für ihre Pflege zu reduzieren.

Das Ziel ist praxisorientiert: mehr Probleme verhindern, bestehende Schwachstellen schneller beheben und Teams Belege dafür liefern, dass ihre Korrekturen funktionieren.

Überzeugen Sie sich selbst

Heute: 

• Herkömmliche Scanner übersehen Ihre kritischsten Probleme

• Ihr Rückstand wächst schneller, als Sie ihn abbauen können

• Coding-Agenten committen weiterhin Ihre Geheimnisse

• Bösartige Pakete richten bereits bei der Installation Schaden an 

Evo Agentic AppSec vereint Prävention, Erkennung, Behebung und Überprüfung, damit Teams diese Herausforderungen bewältigen können.

Möchten Sie jedem Entwicklerteam ein Team von Sicherheitsagenten zur Seite stellen? Wenden Sie sich an Ihren Snyk-Ansprechpartner, um frühzeitigen Zugang zu den Agenten zu erhalten. Oder halten Sie Ausschau nach weiteren Ankündigungen zu Agentic AppSec!