Das Sicherheitsteam, das nie schläft: 0.security und das Ende des jährlichen Pentests

0.security, im Herbst-2026-Batch von Y Combinator, verkauft ein autonomes Sicherheitsteam: Pull-Request-Tests, kontinuierliches Pentesting und Fixes, die im selben PR geliefert werden. Die Wette ist, dass KI heute Code schneller schreibt, als jährliche Audits ihn prüfen können – und dass der Verifikationsschritt, nicht das Scannen, der schwierige Teil ist.

Sicherheitstests liefen schon immer nach dem Kalender. Einmal im Jahr, manchmal zweimal, verbringt eine externe Firma eine Woche mit der Anwendung, schreibt einen Bericht, und das Team verbringt ein Quartal damit, ihn abzuarbeiten. Bis der letzte Befund geschlossen ist, hat sich die Codebasis darunter verändert.

Dieses Modell ging davon aus, dass sich Software langsam ändert. Das ist nicht mehr der Fall. Ein Team, das Coding-Agenten einsetzt, liefert in einer Woche aus, wofür früher ein Quartal nötig war, und jede dieser Änderungen ist eine neue Angriffsfläche. Ein jährlicher Test beschreibt heute ein System, das es nicht mehr gibt.

0.security ist eines der Unternehmen im Fall-2026-Batch (F26) von Y Combinator, das auf dieser Lücke aufbaut. Die Beschreibung ist unverblümt: ein autonomes Cybersecurity-Team. Das Produkt führt Sicherheitstests bei Pull Requests durch, führt kontinuierlich einen Pentest gegen Live-Systeme durch, überwacht Abhängigkeiten auf neu offengelegte Schwachstellen und – der kommerziell entscheidende Teil – liefert einen Fix im selben Pull Request, der mit einem Klick angewendet wird.

Warum der Verifikationsschritt das gesamte Produkt ausmacht

Scannen ist billig, und das seit einem Jahrzehnt. Was nie billig war, ist zu wissen, welche der Warnungen wichtig sind. Ein Scanner, der zweihundert Funde meldet und bei der Hälfte davon falsch liegt, senkt kein Risiko; er verbraucht die Aufmerksamkeit der einen Person, die den echten hätte beheben können.

Die interessante Behauptung hier ist also nicht, dass KI Fehler finden kann. Sie lautet, dass man KI dazu bringen kann, sie zu beweisen. 0.security sagt, Agenten reproduzieren Befunde in isolierten Umgebungen und verifizieren den Fix, bevor er angeboten wird, und auf diese Weise würden falsch positive Ergebnisse herausgefiltert. Wenn das standhält, ändert sich die Arbeitseinheit von „ein Bericht zum Triagieren“ zu „ein Patch zum Reviewen“.

Die öffentliche Forschung des Unternehmens ist der Beleg, auf den es sich stützt. Auf seiner Website sind offengelegte Schwachstellen im Linux-Kernel und in einer langen Reihe von Hersteller-Stacks aufgeführt – AMD, Qualcomm, Cisco, Arm, Google, Meta, IBM, NVIDIA, Intel, Red Hat –, und zwar mit einer Art von Prüfpfad, wie ihn Sicherheitsingenieure erkennen. Es veröffentlicht außerdem sein Harness als Open Source und gibt an, dass mehr als drei Milliarden Geräte Software ausführen, zu deren Absicherung es beigetragen hat. Das sind Unternehmensangaben, keine unabhängig geprüften Zahlen, doch die Offenlegungslinks sind auf eine Weise nachprüfbar, wie es bei Marketingtexten normalerweise nicht der Fall ist.

Das Wettrüsten, nach dem niemand gefragt hat

Der unangenehme Zusammenhang ist, dass dieselbe Fähigkeit auch auf der anderen Seite existiert. Angreifer nutzen Modelle, um Code zu lesen, Schwachstellen zu finden und Exploits zu schreiben – mit derselben Geschwindigkeit, mit der Verteidiger sie nun einsetzen können, um diese zu schließen. Ein Unternehmen, das KI für das Engineering einsetzt und an einer jährlichen Sicherheitsüberprüfung festhält, hat eine Hälfte der Gleichung automatisiert.

Das ist das Argument für kontinuierliches Testen in einem Satz: Wenn sich der Code täglich ändert, muss die Sicherheitslage täglich bewertet werden, sonst wächst die Lücke zwischen dem, was Sie ausgeliefert haben, und dem, was Sie geprüft haben, jede Woche.

Was ein Käufer trotzdem fragen sollte

Drei Fragen, und keine davon betrifft die Modellqualität.

Wer besitzt das Ergebnis? Ein Tool, das Befunde ablegt, ist ein Scanner. Ein Tool, das Code patcht, nimmt Änderungen an Produktionssystemen vor, und jemand im Unternehmen muss die Verantwortung für diese Entscheidung übernehmen. In einem Unternehmen ohne Security-Executive fehlt dieser Verantwortliche normalerweise – dieselbe Lücke, die einen fractional CSO sinnvoll macht.

Wie hoch ist die Falschpositivrate in unserem Code? Bitten Sie um einen Testlauf gegen ein Repository, dessen Schwachstellen Sie bereits kennen. Aussagen zur Verifikation sind leicht aufzustellen und teuer zu belegen.

Was passiert, wenn das Modell in die entgegengesetzte Richtung danebenliegt? Eine übersehene Schwachstelle ist schlimmer als eine, die zu viele Fehlalarme erzeugt, und kein Anbieter wird eine garantierte Trefferquote versprechen.

0.security ist früh dran: ein Unternehmen aus dem Herbst-2026-Batch, ein kleines Team und Behauptungen, die von Kunden statt von einer Pressemitteilung auf die Probe gestellt werden. Aber die Stoßrichtung des Arguments stimmt, und es ist die Stoßrichtung, auf die der gesamte Batch hinausläuft – KI erzeugt das Problem mit Maschinengeschwindigkeit, also muss die Reaktion ebenfalls mit Maschinengeschwindigkeit laufen.

Der jährliche Pentest ist nicht tot, weil er schlecht war. Er ist tot, weil er eine Codebasis beschreibt, die im Februar aufhörte zu existieren.

Quelle: Y-Combinator-F26-Unternehmensliste sowie die öffentliche Website und Forschungsveröffentlichungen von 0.security, November 2026. Unternehmensangaben werden als solche gekennzeichnet.

Kontakt: [email protected]

Bitte beachten Sie, dass die deutsche Version von Ai unterstützt wird und daher geringfügige Fehler auftreten können.

AUTOR

Über ABN Asia: Ai-Banking-NetworkSecurity (ABN), ABN Asia wurde im Jahr 2012 gegründet und ist ein Unternehmen mit akademischem Hintergrund, das von Lehrkräften und ehemaligen Studierenden aus Ungarn, den Niederlanden, Russland, Deutschland und Japan gegründet wurde. Wir teilen eine gemeinsame Leidenschaft und eine klare Vision für Technologie, die Innovation und erstklassige Qualität für unsere Kunden bringt. Unser Motto lautet: Besser. Schneller. Sicherer. In vielen Fällen: Günstiger.

Zögern Sie nicht, uns zu kontaktieren, wenn Sie IT-Dienstleistungen, digitale Beratung, Standardsoftwarelösungen benötigen oder uns Angebotsanfragen (RFPs) senden möchten. Sie können uns unter [email protected] kontaktieren. Wir sind bereit, Ihnen bei all Ihren Technologiebedürfnissen zu helfen.

© ABN ASIA