GitLab bindet Claude Mythos 5.1 von Anthropic in seinen Sicherheits-Workflow ein
GitLab hat Claude Mythos 5.1 von Anthropic in seine Plattform integriert und verknüpft Schwachstellensuche, automatisierte Fixes und Prävention in einem einzigen Workflow. Ziel sei es, die Zeit zwischen dem Fund einer Lücke und der Auslieferung eines geprüften Fixes zu verkürzen, denn die Behebungszeiten wachsen.
- GitLab hat Claude Mythos 5.1 von Anthropic in seine Plattform eingebunden, um Schwachstellensuche, Behebung und Prävention zu verbinden.
- Laut Verizons DBIR 2026 beträgt die mediane Zeit bis zur vollständigen Behebung einer bekanntermaßen ausgenutzten Schwachstelle 43 Tage, nach 32 Tagen im Jahr 2025.
- Der neue Business Logic Security Analyzer ist die erste GitLab-Funktion mit Unterstützung für Claude Mythos 5.1 und zielt auf Lücken wie fehlende Autorisierungsprüfungen.
- Die Duo Agent Platform schreibt Fixes und lässt sie durch die Pipeline laufen, die Ergebnisse erscheinen in einem einzigen Merge Request.
- Qualifizierte Teams können über ein Security-Sprint-Angebot Zugang zu mehreren GitLab-Produkten mit kostenlosen Credits beantragen.
Die Behebung wird langsamer, während die Entdeckung schneller wird
GitLab argumentiert, dass moderne KI-Spitzenmodelle komplexe Schwachstellen aufspüren, die herkömmliche Tools übersehen haben, während Angreifer dieselben Modelle nutzen, um sie schneller auszunutzen. Die Behebung hält damit nicht Schritt. Laut dem Data Breach Investigations Report (DBIR) 2026 von Verizon liegt die mediane Zeit bis zur vollständigen Behebung einer bekanntermaßen ausgenutzten Schwachstelle bei 43 Tagen, nach 32 Tagen im Jahr 2025.
Der Bericht stellt zudem fest, dass 31 % der Datenpannen inzwischen mit der Ausnutzung von Schwachstellen beginnen. Damit ist dies erstmals in den 19 Jahren des DBIR der häufigste Einstiegsvektor. GitLab verweist auf kritische Schwachstellen wie PHP2Shell, die große Organisationen zwingen, ihre Gefährdung über Hunderte oder Tausende Repositories, Anwendungen und Abhängigkeiten hinweg zu bewerten, dann die Ausnutzbarkeit einzuschätzen, zu priorisieren, Fixes abzustimmen, zu testen und auszurollen.
Agenten könnten in Sekunden einen Patch erzeugen, so GitLab, doch es sei eine andere Frage, ob der Agent die Anwendung verstanden, die Änderung gegen den echten Build validiert und die Sicherheitsrichtlinien eingehalten habe. Diese Fragen werden schwieriger und teurer, je mehr sich Agenten über Tausende Projekte verbreiten.
Agenten in der Software-Fabrik
GitLabs Antwort besteht darin, agentenbasierte Sicherheitsarbeit in der Umgebung auszuführen, in der Teams ohnehin Software entwickeln, testen und ausliefern. Daran sind mehrere Komponenten beteiligt:
- GitLab Orbit, beschrieben als ein Live-Kontextgraph des Software-Lebenszyklus, verbindet Funde mit den Änderungen, die sie eingeführt haben, den Pipelines, die sie ausgeliefert haben, und den Teams, die für den Fix zuständig sind.
- Die GitLab Duo Agent Platform untersucht Funde im Kontext, filtert wahrscheinliche Fehlalarme heraus und priorisiert nach Ausnutzbarkeit und Erreichbarkeit. Für die relevanten Funde schreibt Duo einen Fix und lässt ihn durch die Pipeline laufen, um Regressionen zu prüfen und Sicherheitsscans erneut auszuführen.
- Ein einziger Merge Request zeigt Entwicklerinnen und Entwicklern die Änderung, Duos Erklärung und die Pipeline-Ergebnisse zur Prüfung.
Laut GitLab können Sicherheitsteams in einem Durchgang vom Verständnis der Gefährdung zum Start der Behebung gelangen, während Entwickler nicht mehr Funden hinterherjagen, sondern Fixes prüfen.
Der neue Business Logic Security Analyzer ist die erste GitLab-Funktion, die Claude Mythos 5.1 unterstützt. Er ziele auf Lücken wie fehlende Autorisierungsprüfungen, fehlerhafte Eigentümerlogik und andere Fehler in der Geschäftslogik, die musterbasierte Scanner oft übersehen, so GitLab. Er liest das gesamte Repository und eingehende Merge Requests, leitet ab, was jeder Endpunkt durchsetzen sollte, und markiert die Lücken.
Riskanten Code aus der Produktion fernhalten
GitLab betont, dass Kontrollen unabhängig von den Personen und Agenten durchgesetzt werden müssen, die Änderungen vornehmen. GitLab Ultimate umfasst statische Analyse, Abhängigkeits- und Container-Scans, Secret Detection, Richtliniendurchsetzung und Freigabeschranken. Richtlinien werden zentral festgelegt, sodass der Urheber einer Änderung, ob Mensch oder Agent, die Kontrollen, die seine Arbeit bewerten, weder ändern noch aufheben kann.
Bei Code von Drittanbietern blockiert GitLabs Dependency Firewall Pakete, die gegen Richtlinien verstoßen, bevor sie in einen Build gelangen. Der GitLab Secrets Manager gewährt jedem Job nur Zugriff auf die Zugangsdaten, die er anfordert und nutzen darf, sodass eine kompromittierte Abhängigkeit nur an die Secrets des Jobs gelangt, in dem sie läuft.
Jeder Agent auf der Duo Agent Platform erhält eine zusammengesetzte Identität, die ihn auf die Berechtigungen beschränkt, die er mit dem anfragenden Nutzer teilt, eine Sandbox, die nach Abschluss der Aufgabe zerstört wird, und ein Protokoll jeder Aktion. Diese Grenzen gehören zum GitLab Security Standard, nach dem Agenten nur dann mehr Autonomie erhalten, wenn nachgewiesen ist, dass die Kontrollen in jeder Phase greifen.
Was das für Sicherheitsteams bedeutet
GitLabs Position lautet, dass bessere Modelle allein das Risiko nicht senken. Die Fähigkeit eines Teams, Risiken zu verringern, hänge davon ab, wie schnell und sicher es Funde in produktionsreife Fixes überführen kann. Der nächste Sicherheitsvorteil entstehe laut Unternehmen dadurch, dies mit geprüften, vertrauenswürdigen Änderungen zu tun.
GitLab bietet außerdem ein Security-Sprint-Programm an. Qualifizierte Teams können Zugang zu GitLab Ultimate, GitLab Duo Agent Platform, GitLab Orbit und GitLab Secrets Manager mit kostenlosen Credits beantragen. Weitere Angaben zu Preisen oder Verfügbarkeit macht die Quelle über dieses Antragsverfahren hinaus nicht.
