CodeRabbit übernimmt Deep-Scan-Sicherheitsscans mit bis zu 5.000 US-Dollar pro Organisation
CodeRabbit bezahlt Sicherheitsscans mit seinem Tool Deep Scan und übernimmt bis zum 8. November die Nutzungskosten von bis zu 5.000 US-Dollar für jede Organisation mit mindestens zwei Mitgliedern. Das Unternehmen hat nach eigenen Angaben bis zu 1 Million US-Dollar für die Aktion bereitgestellt, die nach dem Prinzip „Wer zuerst kommt, mahlt zuerst“ läuft, bis das Geld aufgebraucht ist.
- CodeRabbit übernimmt die Deep-Scan-Nutzung bis zu 5.000 US-Dollar pro Organisation mit mindestens zwei Mitgliedern.
- Das Angebot läuft bis zum 8. November 2026, ist mit bis zu 1 Million US-Dollar hinterlegt und wird nach dem Prinzip „Wer zuerst kommt, mahlt zuerst“ vergeben.
- Deep Scan untersucht ganze Repositories und nutzt einen unabhängigen Verifizierer, der Befunde verwirft, die die Beweislage nicht stützt.
- CodeRabbit kann für berechtigte Befunde Fixes entwerfen, doch ein Entwickler prüft sie und bleibt für die Auslieferung verantwortlich.
- Laut dem Unternehmen sind Open-Source-Maintainer eine Hauptzielgruppe der Aktion.
Wer das Angebot nutzen kann
Laut CodeRabbit steht das Angebot jeder Organisation mit mindestens zwei Mitgliedern offen. Dazu zählen Open-Source-Projekte, aktuelle und frühere Kunden sowie Teams, die das Produkt noch nie genutzt haben. CodeRabbit übernimmt die berechtigte Nutzung bis zu 5.000 US-Dollar pro Organisation, solange das Kontingent reicht.
Um teilzunehmen, meldet sich ein Team an oder legt ein Konto an, verbindet ein Repository und startet Deep Scan. Das Unternehmen empfiehlt, mit dem Repository zu beginnen, auf das sich das Team oder die Community am stärksten stützt. Die Frist zur Inanspruchnahme endet am 8. November 2026.
Was Deep Scan leistet
Deep Scan ist Teil von CodeRabbit Secure. CodeRabbit beschreibt es als ein Werkzeug, das wie ein Angreifer nach Schwachstellen sucht und anschließend unabhängig prüft, welche davon erreichbar und ausnutzbar sind, bevor es sie an ein Team meldet.
Anders als eine Prüfung der jüngsten Änderung untersucht Deep Scan den eingecheckten Code eines gesamten Repositorys. Laut dem Unternehmen erstellt es eine detaillierte Karte der Codebasis, durchsucht Codepfade nach Schwachstellen, prüft die bereits vorhandenen Schutzmaßnahmen und nutzt semantische Analyse, um zu beurteilen, ob sich eine Lücke tatsächlich ausnutzen lässt. Führt ein Pfad über verknüpfte Repositories, kann es auch diesen Kontext einbeziehen.
Bevor ein Befund ein Team erreicht, öffnet ein unabhängiger Verifizierer den Code erneut und verwirft alles, was die Beweislage nicht stützt. Jeder veröffentlichte Befund enthält Belege sowie eine Einschätzung zu Erreichbarkeit und Ausnutzbarkeit, sodass Teams entscheiden können, was zuerst Aufmerksamkeit verdient.
- Deep Scan soll neben bestehenden Sicherheitswerkzeugen laufen und sie nicht ersetzen.
- CodeRabbit zufolge ergänzt es die Analyse um Überlegungen zur eigenen Anwendungslogik und um Risiken, die sich erst zeigen, wenn Code im Kontext gelesen wird.
Für berechtigte Befunde kann CodeRabbit einen Fix entwerfen, der den bereits in der Codebasis verwendeten Standards folgt. Ein Entwickler prüft die vorgeschlagene Änderung und bleibt dem Unternehmen zufolge dafür verantwortlich, was ausgeliefert wird.
Warum CodeRabbit die Scans bezahlt
Das Unternehmen argumentiert, dass nicht nur Entwickler KI nutzen, um unbekannten Code zu verstehen. Laut CodeRabbit haben auch Angreifer Zugriff auf dieselben KI-Modelle und können damit ausgereifte Codebasen nach Pfaden durchsuchen, denen seit Jahren niemand gefolgt ist. Aus Sicht des Unternehmens brauchen Teams genügend Verteidigungskapazität, um ihren eigenen Code ebenso gründlich zu untersuchen.
Open-Source-Projekte sind ein wesentlicher Grund für die Aktion. CodeRabbit weist darauf hin, dass Unternehmen auf Open-Source-Software setzen, die oft von kleinen Teams ohne eigenes Sicherheitspersonal gepflegt wird, und dass eine Schwachstelle in einem weit verbreiteten Projekt jede Organisation treffen kann, die davon abhängt. Das Unternehmen möchte nach eigenen Angaben, dass diese Maintainer sehen können, was Deep Scan findet, ohne dass das Budget der Grund für Wartezeiten ist.
Was das für Teams bedeutet
Für Teams, die älteren Code bisher nicht gründlich untersucht haben, senkt das Angebot die Kosten, um herauszufinden, was offenliegt. Da die Förderung auf bis zu 1 Million US-Dollar begrenzt ist und nach dem Prinzip „Wer zuerst kommt, mahlt zuerst“ vergeben wird, hängt die Verfügbarkeit davon ab, wie schnell Organisationen zugreifen. Die Quelle nennt nicht, was ein typischer Scan kostet, daher bleibt unklar, wie viele Organisationen das Budget abdeckt.
Das Angebot dient zugleich CodeRabbit dazu, Deep Scan Teams vorzustellen, die seine Produkte heute womöglich nicht nutzen. Befunde erfordern weiterhin menschliches Urteilsvermögen: Entwickler prüfen jeden vorgeschlagenen Fix und entscheiden, was ausgeliefert wird.
