Vier der größten Namen in der Technik haben gerade die gleiche Art von Werkzeug in fast dem gleichen Moment ausgeliefert. Anthropic, OpenAI, Google und Cloudflare haben jeweils einen KI-Agenten veröffentlicht, der Sicherheitsfehler im Quellcode jagt, verglichen mit Claude, Codex, Mantis und Cloudflare. Wenn so viele ernsthafte spieler innerhalb weniger tage die gleiche wette machen, passe ich auf. Wenn "die Website" ist technisch Teil Ihrer Arbeit, so sollten Sie.
Was diese Welle interessant macht, ist keine einzige von ihnen. Es ist die Schleife, die sie alle teilen: Finden Sie einen vermuteten Fehler, versuchen Sie, ihn zu widerlegen, und patchen Sie dann nur das, was überlebt. Dieser mittlere Schritt ist das, was ältere Scan-Tools nie wirklich hatten, und das ist der Grund, warum ich denke, dass diese Kategorie endlich für Unternehmen ohne Sicherheitsteam wichtig ist. Wir haben Tracking KI-Agenten bewegen sich von Chat-Fenstern in reale operative Arbeit für eine Weile, und das ist, dass die Schichtlandung an einem Ort die meisten kleinen Unternehmen ganz überspringen.
Faire Warnung, bevor wir uns eingraben: Das Material, das ich habe, beschreibt nicht jeden Unterschied zwischen den vier, also behandeln Sie dies als ersten Blick, nicht als Urteil. Hier ist, was ausgeliefert wurde, warum es für die admin-arbeit wichtig ist und was ich diese woche damit machen würde.
Was verschifft
Am 30. Oktober 2026 berichtete eine Zusammenfassung der neuen Tools, dass Anthropic, OpenAI, Cloudflare und Google jeweils einen KI-Agenten veröffentlicht haben, der Sicherheitsfehler im Quellcode jagt. Es vergleicht sie als Claude, Codex, Mantis und Cloudflare, fügt 12 weitere Werkzeuge aus dem gleichen Raum hinzu und geht durch, wie sie sich unterscheiden. Alle vier laufen die gleiche Schleife: Finden Sie einen vermuteten Fehler, versuchen Sie, ihn zu widerlegen, patchen Sie, was den Scheck überlebt. Die Unterschiede hängen von den Details ab, die meine Quellzusammenfassung nicht vollständig beschreibt, also bleibe ich bei dem, was ich überprüfen kann, und weise Sie auf die offiziellen Dokumente für den Rest hin.
Claude (Anthropisch)
Der Eintrag von Anthropic jagt Sicherheitsfehler im Quellcode mithilfe der freigegebenen Patch-Schleife find, disprove. Was es von den anderen drei in der Praxis unterscheidet, wurde in dem, was ich habe, nicht detailliert beschrieben, also überprüfen Sie die offiziellen Dokumente von Anthropic, bevor Sie Pläne darum herum bauen.
Codex (OpenAI)
Gleiche Kategorie, gleiche Schleife, von OpenAI. Wenn sich Ihr Unternehmen bereits auf das OpenAI-Ökosystem stützt, ist dies wahrscheinlich Ihre natürliche erste Station. Zugangs- und Preisdetails waren nicht Teil der Ankündigung.
Mantis (Google)
Googles Agent im gleichen Raum, gebaut um die gleiche dreistufige Schleife. Der gleiche Vorbehalt von mir: Was es über den gemeinsamen Ansatz hinaus unterscheidet, wurde in dem Material, das ich gelesen habe, nicht dargelegt.
Cloudflare
Die ungerade im Unternehmensprofil, da Cloudflare eine Infrastruktur ist, auf der viele kleine Unternehmen bereits laufen. Gleiche Schleife, gleiche Unbekannte über Zugang und Kosten.
Die ehrliche Zusammenfassung: Die Konvergenz ist die Geschichte. Vier Anbieter sahen sich das gleiche Problem an und landeten auf Find, Disprove, Patch. Das sagt mir, dass der Ansatz zumindest gut genug funktioniert, um es wert zu sein, kopiert zu werden, und es bedeutet, dass der praktische Vergleich für ein kleines Unternehmen nicht so sehr "welcher gewinnt" als "welcher Anbieter bezahle ich bereits".
Warum sich KMU kümmern sollten
Sicherheit in einem kleinen Unternehmen ist selten jemandes eigentlicher Job. Es ist eine Admin-Aufgabe, die auf demjenigen landet, der das Hosting-Login kennt.
Ein Kunde von mir, eine 16-Personen-Ausrüstungsvermietung, erfuhr, dass der teure Weg im vergangenen Jahr. Ihre Büroleiterin, Katrin, "besitzte" die Website, weil sie die einzige mit dem Passwort war. Ein Buchungsformular, das ein Freelancer im Jahr 2022 erstellt hat, enthüllte einen Endpunkt, der Kundennamen und E-Mail-Adressen an jeden verteilte, der gefragt wurde. Ihr gastgeber markierte es während eines routine-scans an einem donnerstag. Katrin verlor den größten Teil des Freitags und des halben Wochenendes, um den Fix zu koordinieren, und der Freelancer fakturierte €420 für etwa drei Stunden Arbeit. Nichts in diesem ganzen Prozess ging auf der Suche nach dem nächsten Loch.
Das ist die Aufgabe, die diese vier Agenten entfernen: die Jagd. Anstatt darauf zu warten, dass ein Host-Scan oder ein verärgerter Kunde ein Problem aufdeckt, liest ein Agent Ihren Quellcode, markiert, was gefährlich aussieht, und versucht dann, seine eigenen Ergebnisse zunichte zu machen, bevor er Ihnen etwas zeigt. Wenn der Widerlegungsschritt wie beabsichtigt funktioniert, erhalten Sie drei echte Warnungen anstelle von vierzig Vielleichts. Vergleichen Sie das mit den üblichen SMB-Optionen, die nichts tun und hoffen oder für ein manuelles Code-Audit bezahlen. Zitate, die ich für diejenigen gesehen habe, die herum anfangen €1500. Ein automatisierter Pass-Over-Code, den Sie besitzen, ändert diese Mathematik erheblich.
Wie man Vorteile nutzt
Nichts davon braucht einen Entwickler im Personal, obwohl einer auf Speed Dial hilft. Die Sequenz, die ich diese Woche laufen lassen würde:
- Listen Sie den Code auf, den Sie tatsächlich besitzen. Setzen Sie sich mit jedem, der Ihre Office-Tools ausführt, und notieren Sie jeden Ort, an dem Kundendaten den Code berühren, den Sie sehen können: Buchungsformulare, ein Angebotsrechner, das Rechnungsstellungsskript, das jemand vor Jahren erstellt hat, ein angepasstes Plugin. Gib ihm eine Stunde. Das Ergebnis ist eine Shortlist von echten Zielen, weil diese Agenten den Quellcode scannen. Sie können kein SaaS-Tool auditieren, dessen Code Sie noch nie gesehen haben.
- Wählen Sie ein Low-Stakes-Ziel und beginnen Sie mit dem Anbieter, den Sie bereits verwenden. Cloudflare Kunde? Versuchen Sie zuerst Ihren Agenten. Stack lehnt OpenAI, Google oder Anthropic? Fangen Sie dort an. Zugangsdetails und Preise wurden nicht bekannt gegeben, also überprüfen Sie die offiziellen Dokumente von jedem Anbieter, bevor Sie sich zu etwas verpflichten. Das Ergebnis ist ein erster Scan-Bericht über etwas, das Ihnen nicht weh tut, wenn sich ein Patch schlecht benimmt. Ihr live-checkout ist nicht der testfall.
- Behandeln Sie jeden Patch als Vorschlag, niemals als Bereitstellung. Führen Sie den vorgeschlagenen Fix auf einer Staging-Kopie oder einem Backup aus und lassen Sie den Code von Ihnen, einem Freelancer oder einer Agentur, überprüfen, bevor etwas live geht. Wir behandeln diesen Review-Schritt als Teil von Workflow Reliability Engineering bei StartMit, weil ein Fix, der das von ihm geschützte Formular bricht, schlimmer ist als der Bug. Das Ergebnis: automatisierte Geschwindigkeit auf dem Fund, eine menschliche Entscheidung auf dem Versand.
Kosten und Aufwand
Klar: Es wurde keine Preisgestaltung angekündigt, daher kann ich Ihnen nicht sagen, was eine dieser vier Unternehmen pro Monat kostet. Die offiziellen Dokumente sind der einzige Ort, den es wert ist, überprüft zu werden, und ich würde mich dort umsehen, bevor ich überhaupt etwas budgetiere.
Den Aufwand auf Ihrer Seite kann ich zumindest schätzen. Der Code-Inventar dauert ein bis zwei Stunden und kostet nichts. Die Einrichtung eines ersten Scans ist vielleicht eine Stunde des Durchstöberns der Dokumentation und einiges Wartens. Was die Leute vergessen, ist die Überprüfung der Ergebnisse: Budget 30 bis 60 Minuten pro Befund. Freelancer, mit denen ich in Deutschland arbeite €80 bis €100 pro Stunde, so dass eine Sitzung, die drei Ergebnisse überprüft, herumkommt €300. Das ist billiger als Katrins €420 Notfall und weit billiger als ein €1.500 manuelle Audits. Für die größere Frage, was KI in diesem Jahr ein kleines Unternehmen kosten sollte, ist unsere AI-Automatisierungskosten 2026 Zusammenbruch Hat die zahlen, mit denen ich eigentlich budgetieren würde.
Eine ehrliche Falle
Das Wort, das mich in dieser Schleife beunruhigt, ist "Patch". Das Finden ist sicher. Widerlegung ist sicher. Einen agenten code auf einem live-system umschreiben zu lassen, ist, wo ich langsamer werde, und ich sage das als jemand, der automatisierung mehr mag als die meisten leute, die ich treffe.
Ich gebe auch ein Limit zu. Ich habe diese vier nicht Seite an Seite mit unordentlichem Real-World-Code ausgeführt, daher weiß ich noch nicht, wie sich der widerlegende Schritt bei einer WordPress-Installation mit 30 Plugins und einem benutzerdefinierten Theme von 2019 verhält. Saubere Demo-Codebasen lassen jeden Agenten brillant aussehen. Ihr Buchungsformular mit sechs Jahren Freelancer-Patches ist ein anderes Tier, und bis ich gesehen habe, wie diese Tools an so etwas gekaut haben, würde ich einen Menschen zwischen dem Patch und der Produktion halten. Die Falle ist nicht das Versagen des Werkzeugs. Es ist das Tool, das einmal erfolgreich ist und jeder, der entscheidet, dass die Website jetzt "sicher" ist. Das ist es nicht. Es wurde gescannt.
Wo wir hereinkommen
Wenn Sie lieber nicht alleine herausfinden möchten, welcher dieser vier Agenten zu Ihrem Stack passt, Buchen Sie eine Beratung mit StartMit Und wir werden den langweiligen, sicheren Weg gemeinsam finden.
Verwandtes Lesen
- Unser No-Hype-Playbook für KI-Automatisierung in kleinen Unternehmen
- Über Damian, der diese wöchentlichen Updates schreibt
Bald mehr,
Damian
