Sonar hat SonarQube Hunter Agent am 27. August 2026 für SonarQube Cloud allgemein verfügbar gemacht. Das Unternehmen beschreibt das Produkt als KI-Sicherheitsagenten, der eine vollständige Codebasis auf fehlerhafte Zugriffskontrollen, Geschäftslogikfehler sowie Schwächen bei Authentifizierung und Sitzungen untersucht. Musterbasierte statische Analyse kann solche Fehler übersehen. Unterstützung für SonarQube Server ist geplant, war zum Start aber noch nicht allgemein verfügbar.
Die Veröffentlichung ist relevant, weil ein Agent eine Rolle in der Sicherheitsprüfung übernimmt. Hunter Agent erzeugt nicht nur Code. Er leitet beabsichtigtes Anwendungsverhalten ab, untersucht mögliche Fehler und übergibt Befunde an den normalen SonarQube-Prozess. Neben der Erkennungsqualität entsteht damit eine Governance-Frage: Wie validiert, begrenzt und prüft ein Team einen Agenten, der Softwareverhalten bewertet?
Was Sonar veröffentlicht hat
Laut Sonar kann Hunter Agent auf Abruf oder nach Zeitplan im Hintergrund laufen. Er verfolgt Code, Daten und Identität durch ein Projekt und konzentriert sich auf drei Fehlerklassen:
- fehlerhafte Zugriffskontrollen, etwa Zugriff auf Datensätze eines anderen Nutzers;
- Geschäftslogikfehler, etwa das Umgehen eines erforderlichen Kaufschritts; und
- Authentifizierungs- oder Sitzungsprobleme, etwa zu lange gültige Sitzungen.
Bestätigte Befunde erscheinen als SonarQube-Issues und können mit bestehenden Verfahren zugewiesen und bearbeitet werden. Die Startunterlagen erklären ausdrücklich, dass der Agent statische Anwendungssicherheitstests ergänzt und nicht ersetzt.
Sonar nennt nach einer internen Validierungsstufe eine durchschnittliche Präzision von 80 bis 90 Prozent. Das ist eine Anbietermessung. Die Quellen enthalten keinen öffentlichen unabhängigen Benchmark, keinen vollständigen Datensatz, keine Recall-Werte und keine vergleichende Bewertung repräsentativer Kundenprojekte. SiliconANGLE bestätigt die Einführung und die anvisierten Fehlerklassen, prüft die Präzisionsangabe aber nicht unabhängig.
Die Zusatzbedingungen liefern einen weiteren Bereitstellungsfakt: Hunter Agent ist ein Zusatzprodukt für berechtigte SonarQube-Cloud-Enterprise-Projekte. Unterstützte Repositories, Konditionen und Datenverarbeitung müssen deshalb anhand aktueller Unterlagen geprüft werden.
Warum ein KI-Sicherheitsprüfer eigene Kontrollen braucht
Ein Sicherheitsagent kann Abdeckung verbessern und zugleich einen neuen Entscheidungspfad schaffen. Er erhält Quellcode, leitet erwartetes Verhalten ab, wählt Untersuchungen und entscheidet, welche Kandidaten Aufmerksamkeit erhalten. Ein falscher positiver Befund kostet Arbeitszeit. Ein übersehener Fehler kann dagegen unbegründetes Vertrauen erzeugen.
Ein KI-Befund sollte weder automatisch akzeptiert noch pauschal verworfen werden. Sinnvoll ist eine evidenzgestützte Prüfung:
- Der Agent schlägt einen Befund mit betroffenem Code und Begründung vor.
- Eine deterministische oder menschliche Prüfung bestätigt Ausnutzbarkeit und Umfang.
- Der Verantwortliche dokumentiert Einstufung, Schweregrad und Behebung.
- Ein späterer Scan verifiziert die beabsichtigte Wirkung.
Auch negative Ergebnisse benötigen eine Regel. "Keine Befunde" bedeutet nicht "kein Fehler". Der Nachweis muss Version, Repository-Umfang, ausgeschlossene Dateien, Sprachen, Konfiguration und weiterhin durch andere Methoden abgedeckte Kontrollen nennen.
Praktische Checkliste für die Bereitstellung
- Umfang inventarisieren. Repositories, Branches, Sprachen, Integrationen, Rechte, Frequenz und Eigentümer erfassen.
- Quelldaten klassifizieren. Prüfen, ob Code, Konfiguration, Geheimnisse oder regulierte Inhalte in den Dienst gelangen.
- Identität begrenzen. Nur erforderlichen Lesezugriff erteilen. Analyse von Behebung oder Pull-Request-Rechten trennen.
- Nachweise definieren. Genaue Datei und Zeile, verletztes Verhalten, reproduzierbarer Pfad und Validierungsstatus verlangen.
- Nach Folgen routen. Kritische Zugriffs- und Authentifizierungsfehler benötigen benannte Sicherheitsprüfung.
- Beide Richtungen messen. Präzision prüfen und bekannte Fehler verwenden, um übersehene Befunde sichtbar zu machen.
- Behebung verifizieren. Die relevante Prüfung erneut ausführen und das Ergebnis bewahren.
- Produktänderungen prüfen. Bei Änderungen an Agent, Modell, Sprache, Bedingungen oder Integration neu bewerten.
Maetras Leitfaden zur Überwachung riskanten Agentenverhaltens beschreibt Laufzeitnachweise und Zuständigkeit. Die Checkliste für ein KI-Agenteninventar hilft, den neuen Sicherheitsagenten und seine Fähigkeiten zu erfassen.
Was offen bleibt
Die Einführung belegt allgemeine Verfügbarkeit für SonarQube Cloud, nicht Wirksamkeit in jeder Umgebung. Öffentliche Quellen zeigen nicht, wie sich die Leistung je Sprache, Architektur, Repository-Größe oder Anwendungsbereich verändert. Sie belegen auch nicht, wie häufig wichtige Geschäftslogik außerhalb der Codebasis liegt.
Sonar erklärt, jeder sichtbare Befund werde vor der Übergabe an Entwickler unabhängig validiert. Die Unterlagen beschreiben nicht vollständig, ob diese Validierung für jeden Fall deterministisch, modellbasiert, menschlich unterstützt oder kombiniert erfolgt. Käufer sollten das Verfahren und die sichtbaren Nachweise prüfen.
Maetra-Analyse
Hunter Agent steht für einen breiteren Wandel: Agenten werden Teil der Softwareprüfung und nicht nur der Softwareproduktion. Das kann wertvoll sein, doch eine Sicherheitsaussage darf nicht auf einem einzelnen Agentenurteil beruhen. Erforderlich sind Inventar, begrenzter Zugriff, nachvollziehbare Befunde, unabhängige Bestätigung materieller Fehler und Wirkungsverifikation nach der Behebung.
Die Governance-Frage lautet, ob ein Team erklären kann, was der Agent untersucht und ausgelassen hat, warum ein Befund akzeptiert wurde und ob die Reparatur tatsächlich das Sicherheitsziel verändert hat.