Cogents Modell VR-1.1 behob 57,9 % der Schwachstellen

VR-1.1 setzt sich bei LiveCVEBench an die Spitze

Cogent Security hat VR-1.1 am 3. November 2026 vorgestellt. Es handelt sich um die neueste Version seines fortschrittlichen, für Cybersecurity entwickelten Schlussfolgerungsmodells. Nach Angaben des Unternehmens entwickelte das Modell im LiveCVEBench-Test für 57,9 % von 190 kürzlich offengelegten CVE-Schwachstellen funktionierende Lösungen.

Zum Vergleich: Claude Code und Codex erreichten jeweils 45,3 %. Die Ergebnisse stammen aus einer eigenen Auswertung von Cogent. Das Unternehmen erklärte, die drei Systeme hätten unterschiedliche Schlussfolgerungs-Frameworks verwendet. Dieser Faktor sei beim Vergleich berücksichtigt worden.

LiveCVEBench wurde von Forschern des Harbin Institute of Technology und von Kuaishou Technology entwickelt. Bei der öffentlichen Auswertung werden neu offengelegte CVEs in Reparaturaufgaben für 14 Programmiersprachen umgewandelt. Dabei geht es unter anderem um Schwachstellen in den Bereichen Injection, Zugriffskontrolle, Konfiguration und Speichersicherheit.

Bei einer Lösung zählen Sicherheit und Funktionalität

Der Benchmark setzt den Agenten bei jeder Aufgabe in eine echte Entwicklungsumgebung. Der Agent erhält einen Schwachstellenbericht und die betroffene Codebasis und erstellt anschließend eine Lösung. Eine Lösung gilt nur dann als erfolgreich, wenn Sicherheitstests bestätigen, dass die Schwachstelle beseitigt wurde, und Funktionstests zeigen, dass die Software weiterhin wie vorgesehen arbeitet.

In der Auswertung von Cogent war der ausgehende Netzwerkzugriff während der Reparaturphase deaktiviert. Die für die Bewertung verwendeten Tests blieben unzugänglich, bis der Agent seine Arbeit abgeschlossen hatte. LiveCVEBench nimmt regelmäßig neue CVEs in seine Aufgaben auf.

Nach Angaben des Unternehmens hat sich die Entdeckung von Schwachstellen beschleunigt, während ihre Behebung weiterhin Entwicklungsarbeit erfordert. Eine Lösung zu erstellen bedeutet, die Schwachstelle zu verstehen und den Code zu ändern, ohne andere Funktionen zu beeinträchtigen.

Selbst erstellte Beweise, Prüfung und Regressionstests

Wenn die Umgebung es zulässt, schreibt VR-1.1 zunächst einen eigenen Proof of Concept, um die gemeldete Schwachstelle nachzustellen. Anschließend verfolgt das Modell die Schwachstelle durch den betroffenen Code, einschließlich verbundener Pfade, die dieselbe Schwäche ausnutzen.

Das Modell nimmt eine gezielte Änderung vor, etwa indem es einen Index vor seiner Verwendung überprüft. Ein separater Prüfschritt untersucht die Lösung in einer frischen Umgebung. Dabei wird nach Möglichkeiten gesucht, die Lösung zu umgehen, und geprüft, ob die Änderung eine neue Schwachstelle eingeführt hat. VR-1.1 erstellt außerdem Regressionstests, die anzeigen können, ob die Schwachstelle nach einer späteren Codeänderung zurückkehrt.

Wenn ein Versuch scheitert, übernimmt das Modell die vorherige Diagnose und die Fehlerdetails in den nächsten Versuch. Laut Cogent enthält das Ergebnis neben der Lösung auch die Diagnose und die Testergebnisse. Sicherheitsteams können die Änderung dadurch überprüfen.

Das Unternehmen arbeitet auf ein autonomes Schwachstellenmanagement hin

VR-1.1 baut auf den Fähigkeiten von VR-1 auf, das Cogent im Juli vorgestellt hat. Nach Angaben des Unternehmens untersuchte das frühere Modell, welche Angriffswege ein Angreifer in einer Unternehmensumgebung erreichen konnte, und war außerdem in der Lage, diese zu demonstrieren.

Cogent Security entwickelt eine Unternehmensplattform, die Agenten mit künstlicher Intelligenz für einen autonomen Schutz vor Cyberangriffen nutzt. Das Unternehmen erklärte, seine Agenten würden den Prozess von der Entdeckung einer Schwachstelle bis zur validierten Behebung in Cloud-, On-Premises- und Endgeräteumgebungen begleiten. Kunden legen die einzuhaltenden Richtlinien fest und können entscheiden, welche Lösungen automatisch ausgeführt werden und welche auf eine Genehmigung warten sollen.

Laut dem Unternehmen haben Fortune-500-Sicherheitsteams, die Cogent einsetzen, das Zeitfenster für die Gefährdung durch kritische Schwachstellen um 97 % verkürzt. Cogent Research hat die vollständige Methodik in einem separaten Bericht veröffentlicht.