Evo Agentic AppSec: Sicherheit, die mit der KI-Entwicklung Schritt hält

KI verändert die Art und Weise, wie Software entwickelt wird. Coding-Agenten erzeugen mehr Code, als Teams überprüfen können, und aktuelle Modelle führen pro Codezeile zu mehreren Schwachstellen mehr als menschliche Entwickler. Viele dieser Schwachstellen betreffen Geschäftslogik, Zugriffskontrolle und Authentifizierung – Bereiche, in denen musterbasierten Scannern die nötige Transparenz fehlt.

Die meisten Security-Teams waren schon im Rückstand, bevor all das begann. Sie werden mit Findings überhäuft, von denen viele Fehlalarme sind, und müssen gleichzeitig einen Rückstand latenter Risiken bewältigen. Angreifer nutzen KI, um Schwachstellen zu finden, weniger schwerwiegende Probleme zu größeren Exploits zu kombinieren und Angriffe zu beschleunigen. Im Oktober 2026 zeigten die Daten von Snyk, dass auf jede behobene Schwachstelle etwa acht neue kamen. KI-gestützte Entwicklung verschärft dieses Ungleichgewicht zusätzlich. Und umfassende Security-Reviews, mit denen sich Fehler in der Geschäftslogik aufdecken lassen, erfordern so viel Zeit und Kontext, dass die meisten Teams sie nur einmal für eine Handvoll kritischer Apps durchführen.

Angriffe auf die Software-Supply-Chain verschärfen das Problem. Bösartige Pakete sind inzwischen für die meisten Zero-Day-Schwachstellen in Open-Source-Software verantwortlich. 2026 gab es mehr als 20 aufsehenerregende Angriffe, und das Wachstum dürfte im Jahresvergleich über 600 % liegen. Ein bösartiges Paket kann Anmeldedaten während der Installation stehlen, noch bevor ein Pull Request oder CI-Scan ausgeführt wird. Coding-Agenten können solche Pakete einführen, ohne ihre Sicherheit zu überprüfen.

Security muss mit der heutigen Softwareentwicklung Schritt halten und Risiken angehen, bevor Code in die Überprüfung gelangt.

Pull-Request-Scans allein reichen nicht mehr aus  

Pull-Request-Scans bleiben eine wichtige Sicherheitsmaßnahme. Allein können sie jedoch nicht jedes Risiko abdecken – besonders dann nicht, wenn kontinuierlich Code generiert wird und bösartige Abhängigkeiten Schaden anrichten können, bevor ein Scan beginnt.

Application Security muss an drei Stellen greifen: mit Prüfungen im Coding-Workflow, schnellen deterministischen Scans bei jeder Änderung in CI und einer tiefergehenden Analyse der gesamten Anwendung in regelmäßigen Abständen. Diese Analyse muss neben bekannten Schwachstellenmustern auch die Geschäftslogik und den Anwendungskontext berücksichtigen.

Mehr Probleme zu finden, ist nur dann hilfreich, wenn Teams auch etwas dagegen unternehmen können. Prävention und Behebung müssen ebenfalls skalierbar sein – mit klaren Richtlinien dazu, was blockiert, was behoben und was von Menschen überprüft werden muss. Vorgeschlagene Korrekturen müssen unabhängig validiert werden, bevor Teams sie übernehmen.

Die Lösung ist kein weiterer Scanner. Es ist das Programm, das Agenten ausführen und für das Ihr Team die Verantwortung trägt. 

Wir stellen Evo Agentic AppSec vor

Evo Agentic AppSec ist ein Team von Security-Agenten, das die Arbeit Ihres Application-Security-Programms übernimmt. So kann sich Ihr Team auf die Festlegung von Richtlinien und die Verantwortung für Entscheidungen konzentrieren. Die Lösung vereint diese Funktionen, damit Teams die Application Security kontinuierlich verwalten können – von der Bedrohungsbewertung und Prävention über Erkennung, Priorisierung und Behebung bis hin zur Überprüfung.

Die Lösung unterstützt Teams dabei, Bedrohungen und Sicherheitsmaßnahmen einer Anwendung zu bewerten, Schwachstellen zu erkennen, Korrekturen zu priorisieren und Ergebnisse zu validieren. Die Agenten arbeiten während der Entwicklung an neuem Code, verhindern neue Probleme und blockieren die Installation bösartiger Pakete. Gleichzeitig prüfen sie bereits ausgelieferte Anwendungen, damit der Rückstand tatsächlich kleiner wird. 

Die Security-Intelligence von Snyk liefert den Kontext für diese Arbeit. Sie vereint zehn Jahre deterministischer Bewertungen mit Signalen wie Erreichbarkeit, Ausnutzbarkeit, Behebbarkeit und Ergebnissen von Korrekturen. Dieser Kontext hilft Teams, wichtige Probleme von Fehlalarmen zu unterscheiden und aus einer vorgeschlagenen Änderung eine Korrektur zu machen, die das Team einsetzen kann.

Im Rahmen von VulnBump, dem neuesten Benchmark von Snyk für reale Abhängigkeits-Upgrades, lieferte der Evo Remediation Agent in 90 % der Fälle mergefähige Korrekturen. Dasselbe Modell ohne den Kontext von Snyk erreichte 59,6 %. Eine mergefähige Korrektur behebt die Schwachstelle und stellt sicher, dass sich das Projekt weiterhin erstellen lässt.

Die unabhängige Überprüfung ist ein zentraler Bestandteil dieses Ansatzes. Deterministische Engines prüfen vorgeschlagene Korrekturen, statt sich allein auf das Modell zu verlassen, das sie erstellt hat. Teams legen die Richtlinien und Akzeptanzkriterien für den Prozess fest.

Agentic AppSec ist die nächste Lösung, die zu Evo kommt – dem Teil der Snyk-Plattform, der Teams dabei unterstützt, sowohl ihre Anwendungen als auch die von ihnen eingesetzten KI-Agenten abzusichern.

So funktioniert es

Evo Agentic AppSec vereint ein Team von Agenten mit spezifischen Aufgaben:

• Evo Agentic Security Review bewertet die Bedrohungen und Sicherheitsmaßnahmen einer Anwendung und erstellt beleggestützte Findings sowie Hinweise zur Behebung. Mit dieser umfassenden Prüfung können jetzt alle Anwendungen abgedeckt werden – ohne Ihr Team zu vergrößern.

• Evo Code Scanning Agent erkennt Fehler in der Geschäftslogik und Autorisierung, die herkömmliche Scanner übersehen.

• Snyk Secrets erkennt offengelegte Secrets in herkömmlichen und KI-gestützten Entwicklungsumgebungen.

• Evo Remediation Agent behebt Probleme in neuem Code und im bestehenden Rückstand. Zum Start liegt der Schwerpunkt auf Problemen mit Abhängigkeiten von Drittanbietern.

• Evo Dependency Firewall blockiert bösartige und nicht richtlinienkonforme Pakete bereits bei der Installation – noch bevor ein Code-Scan beginnt. Sie müssen Ihre Agenten nicht anweisen, bei der Installation vorsichtig zu sein: Standardmäßig greifen sie auf vertrauenswürdige Pakete zurück.

Evo Continuous Offensive Security führt adversariale Tests durch, um die Abwehrmaßnahmen der Anwendung und die Wirksamkeit der Behebung weiter zu bewerten.

Gemeinsam helfen diese Funktionen Teams, die Security-Abdeckung auszuweiten und mehr Probleme zu beheben – während Menschen eingebunden bleiben und die Kontrolle über Richtlinien, Prioritäten und Freigaben behalten.

Evo Agentic AppSec baut auf Snyk Code und Snyk Open Source auf. Die Engines, mit denen Teams bereits Code und Abhängigkeiten scannen, liefern die zugrunde liegende Analyse und validieren Findings sowie vorgeschlagene Korrekturen unabhängig.

Teams mehr Kapazität geben

Je mehr Entwicklungs- und Security-Aufgaben automatisiert werden, desto wichtiger sind klare Aufsicht und Verantwortlichkeit.

Entwickler können mehr Zeit darauf verwenden, vorgeschlagene Änderungen zu überprüfen. AppSec-Teams können sich auf Security-Richtlinien, Ausnahmen und Risiken konzentrieren, die ihr Urteilsvermögen erfordern. CISOs erhalten Einblick in ein kontinuierlich laufendes Programm – mit adversarialen Tests und einem Audit-Trail automatisierter Entscheidungen.

Für Unternehmen ohne eigenes AppSec-Team können diese Funktionen dabei helfen, einheitliche Security-Praktiken zu etablieren und den manuellen Aufwand für deren Aufrechterhaltung zu verringern.

Das Ziel ist ganz praktisch: mehr Probleme verhindern, bestehende Schwachstellen schneller beheben und Teams belegen, dass ihre Korrekturen funktionieren.

Überzeugen Sie sich selbst

Heute: 

• Herkömmliche Scanner übersehen Ihre kritischsten Probleme

• Ihr Rückstand wächst schneller, als Sie ihn abbauen können

• Coding-Agenten committen Ihre Secrets

• Bösartige Pakete richten bereits bei der Installation Schaden an 

Evo Agentic AppSec vereint Prävention, Erkennung, Behebung und Überprüfung, damit Teams diese Herausforderungen bewältigen können.

Möchten Sie jedem Entwicklerteam ein Team von Security-Agenten zur Seite stellen? Wenden Sie sich an Ihre Ansprechperson bei Snyk, um frühzeitigen Zugriff auf die Agenten zu erhalten. Oder halten Sie Ausschau nach weiteren Ankündigungen zu Agentic AppSec!