Antares: Open-Weight-SLMs finden CVE-Files

Cisco Foundation AI legt mit Antares zwei open-weight Security-SLMs vor, die eine enge, teure Aufgabe lösen: Vulnerability Localization. Aus Advisory und Codebase sollen die wahrscheinlichen Source-Files rauskommen – lokal, klein genug fürs eigene GPU-Setup und messbar gegen einen neuen 500-Task-Benchmark.

Das Wichtigste in Kürze

Verwandt:Hugging Face gehackt: Der Einstieg war ein Dataset-Loader  /  NGINX-Lücke: Ingress und Gateway im Patch-Zwang

Warum Localization der teure Teil ist

Die Advisory ist da, die CVE ist klar – und dann beginnt die teure Arbeit: In einem fremden oder gewachsenen Repo die Dateien finden, in denen die Schwäche steckt. Analysten navigieren Naming-Konventionen, Call-Paths und Kandidatenlisten. Static Analysis hilft, produziert aber oft Noise. General-Purpose-Coding-Modelle können Code lesen, sind aber weder auf Security-Triage noch auf Terminal-Navigation in großen Trees optimiert.

Genau diesen Mittelraum adressiert Antares. Cisco beschreibt die Modelle als Security-SLMs, die wie ein menschlicher Investigator iterieren: von der Vulnerability-Beschreibung aus suchen, Dateien lesen, Strategie wechseln, zurückgehen, eingrenzen. Das Ergebnis ist eine gerankte Liste wahrscheinlicher Source-Files plus Exploration-Trace. Das ist Material für den Reviewer und bleibt bewusst unter Expertenkontrolle.

Für Cloud- und Plattform-Teams ist das der Unterschied zwischen „wir haben ein LLM im Chat“ und „wir haben einen Gate in der Pipeline, der die teure erste Stunde Triage verkürzt“. Localization sitzt vor dem Patch. Wer hier Zeit und Token spart, skaliert Advisory-Wellen und Agent-generierten Code besser.

Antares-350M und 1B: klein, spezialisiert, messbar

Live sind zwei open-weight Modelle: Antares-350M und Antares-1B, lizenziert unter Apache 2.0 auf Hugging Face. Antares-3B ist angekündigt. Die Basis ist IBM Granite 4.0 mit einer zweistufigen Trainings-Pipeline. Die Model Card zu Antares-1B nennt File F1 0,209 auf dem Vulnerability Localization Benchmark und listet Vergleiche mit deutlich größeren Systemen – darunter GLM-5.2, Gemini 3 Pro, GPT-5 Mini und Qwen3.5-122B. Der volle 500-Task-Sweep läuft im Evaluations-Setup in etwa 13 Minuten auf einer H100 mit 16 parallelen Workern.

Branchenberichte rechnen die Kosten-Seite scharf: Help Net Security und SecurityWeek zitieren Größenordnungen bis 172× günstiger als GPT-5.5 und rund 15× günstiger als GLM-5.2 auf demselben Benchmark. Cisco selbst betont im Blog „fraction of the cost“ und zeigt in Figure 2 deutlich niedrigere geschätzte Kosten und Laufzeiten. Für die redaktionelle Einordnung gilt: Die Richtung ist klar – Spezial-SLM schlägt Frontier-Allrounder bei dieser einen Aufgabe. Absolute Multiplikatoren immer gegen Model Card und Paper prüfen, bevor sie ins Budget-Deck wandern.

Amin Karbasi, VP und Chief AI Scientist bei Cisco Foundation AI, rahmt die Release so: Die Security-Community brauche zugängliche Bausteine für repository-level Defense. Genau deshalb open-weight und klein genug für lokale Inference.

VLoc Bench: warum SWE-Bench hier nicht reicht

Cisco hat den Benchmark nicht aus Marketing-Laune gebaut. Allgemeine Coding-Benches wie SWE-Bench messen Issue-Resolution und Patch-Finden – nicht, ob ein Agent aus CWE-Beschreibung oder Advisory die vulnerablen Files trifft. CodeScout kommt näher (Terminal-Agents, Code-Search), zielt aber auf Software-Engineering-Tasks, nicht auf Security-Localization.

VLoc Bench verlangt beides gleichzeitig: effiziente Navigation in fremden Repos und Erkennen von Vulnerability-Mustern zu konkreten CWE-Kategorien. 500 Tasks, agentisch. Das ist die Messlatte, mit der Cisco Antares gegen größere Closed- und Open-Weight-Modelle stellt – und der Hebel, mit dem Teams eigene Harnesses vergleichbar machen können.

Praktisch heißt das für AppSec und Platform Engineering: Wenn ihr Antares oder einen Konkurrenten einführt, misst ihr Localization-Qualität und Kosten pro Advisory – nicht Chat-Elo. Ohne diesen Schnitt bleibt „KI im Security-Tooling“ ein Demo-Slide.

Lokal laufen: Data-Residency als Feature

Der Cloud-Winkel ist hier keine Floskel. Viele Security-Teams dürfen Proprietary-Code nicht an externe Inference-APIs schicken. Compact open-weight Modelle, die on-prem oder in der eigenen VPC laufen, ändern die Freigabe-Lage: Advisory-Triage und CI-Checks bleiben hinter der eigenen Trust Boundary.

Cisco positioniert Antares explizit auch für Universitäten, Public Sector und kleinere Teams, die Frontier-Token-Budgets nicht stemmen. Stimmen aus der Academia im Blog (NUS, Stanford) unterstreichen denselben Punkt: Security darf kein Luxury Good sein und Small Models sind schnell genug, um Agent-Output vor dem Merge zu gaten.

Grenzen bleiben hart: Antares ersetzt weder Dependency-Scanning noch Secrets-Detection, DAST, Container-Checks oder Threat Modeling. Es engt die teure File-Suche ein. Der Mensch und der Rest der Toolchain bleiben im Loop – so beschreibt es Cisco selbst.

Was Cloud- und Platform-Teams jetzt prüfen

Wer Antares ernst nimmt, baut einen messbaren Slot in der Pipeline:

• Use-Case schneiden: Nur Localization (Advisory → File-Rank). Kein Erwartungs-Mix mit Auto-Remediation.
• Deployment-Ort: On-prem / private GPU vs. Managed Endpoint. Compliance und Code-Residency entscheiden vor Accuracy-Debatten.
• CI-Gate-Design: Bei High-Severity-Advisories gerankte Files als Review-Queue, Trace speichern, Human-in-the-Loop erzwingen.
• Benchmark intern: 20–50 eigene historische CVEs als Goldset. File F1 und Zeit/Kosten gegen Status quo (manuell + SAST).
• Supply Chain der Gewichte: HF-Modelle verifizieren (Signaturen, Hashes, interne Mirror). Der HF-Dataset-Loader-Vorfall zeigt: Pipeline-Eingänge sind Angriffsfläche.

Parallel lohnt der Blick auf Ciscos breiteres Paket: Foundry Security Spec (Harness und Guardrails für agentic Security), CodeGuard (Secure-Coding-Regeln für Coding-Agents) und den offenen VLoc-Benchmark. Antares ist der Localization-Baustein – nicht das ganze Schloss.

Häufige Fragen

Bildquelle: KI-generiert (Juli 2026)