Warum Krisp sich bei Security-Code-Reviews für Hacktron entschieden hat

„Hacktron konzentriert sich auf echte, ausnutzbare Sicherheitsprobleme mit klaren Auswirkungen und Hinweisen zur Behebung.

„Es deckt in PRs zuverlässig wertvolle Befunde auf, bevor sie veröffentlicht werden, sodass wir weniger Zeit mit Triage und mehr mit der Behebung echter Risiken verbringen.“

Davit Karapetyan
Product Security Engineer

Über Krisp

Krisp ist eine Voice-AI-Plattform in Echtzeit, die Einzelpersonen und Unternehmen mit Geräuschunterdrückung, Akzentumwandlung, Live-Transkription und KI-Zusammenfassungen von Meetings unterstützt. Ihre Produkte werden weltweit in Contact Centern, Meeting-Tools und Entwicklerplattformen für Voice AI eingesetzt.

Mit Installationen auf mehr als 200 Millionen Geräten und über 80 Milliarden Minuten Sprachkommunikation, die jeden Monat verarbeitet werden, arbeitet Krisp in globalem Maßstab. Sicherheit hat deshalb für Krisp und seine Kunden höchste Priorität.

Die Herausforderung: Sicherheit im Tempo der Entwicklung in einer KI-Welt

Wie viele Sicherheitsteams setzte Krisp auf klassische SAST-Tools, die große Mengen an Warnungen erzeugten. Die meisten waren nicht ausnutzbar. Echte Risiken gingen im Rauschen unter, und die Triage wurde zu einem zeitraubenden Arbeitsablauf für sich.

Als die Entwicklungsteams begannen, die Softwareentwicklung mit KI zu beschleunigen, brauchte Krisp einen Weg, relevante Schwachstellen früh im Entwicklungsprozess zu erkennen, ohne die Teams zu bremsen oder sie zu zwingen, ihre Art der Auslieferung zu ändern.

Die Lösung: ein KI-nativer Sicherheits-Workflow im SDLC

Krisp hat Hacktron Review direkt in seinen GitHub-Workflow integriert und Sicherheit so in den Review-Prozess für Pull Requests gebracht, ohne die bestehende Arbeitsweise der Entwickler zu ändern.

Statt Codeänderungen isoliert zu scannen, prüft Hacktron jeden Pull Request mit anwendungsspezifischen Bedrohungsmodellen und dem Kontext der gesamten Codebasis. Weil Hacktron versteht, wie sich eine Änderung in die übrige Anwendung einfügt, kann es beurteilen, ob sie tatsächlich ausnutzbar ist, und Fehler in der Geschäftslogik, verletzte Sicherheitsannahmen und mehrstufige Schwachstellen aufdecken, für deren Erkennung klassische musterbasierte Scanner nicht ausgelegt sind.

Befunde werden inline am betroffenen Code gepostet und enthalten Schritte zur Reproduktion, Erreichbarkeitspfade und Hinweise zur Behebung. Die Entwickler von Krisp können die Ausnutzbarkeit in wenigen Minuten verifizieren, statt darüber zu diskutieren, ob eine Warnung echt ist.

Die Ergebnisse: mehr Sicherheit, weniger Rauschen

In den ersten 4 Wochen nach der Einführung hat Hacktron Krisp geholfen, eine Reihe von Schwachstellen zu erkennen und zu beheben, bevor sie in Produktion gelangen konnten, im Durchschnitt innerhalb von 8 Tagen nach der Erkennung.

Das Sicherheitsteam von Krisp nutzte Triage-Kommentare in GitHub, das Hacktron MCP und die Hacktron API, um in einer einzigen Woche mehr als 300 Befunde zu triagieren. Jeder falsch positive Befund und jedes akzeptierte Risiko wurde mit einer Begründung markiert, die direkt in das Bedrohungsmodell von Hacktron für die Codebasis von Krisp einfloss. Mit der Zeit hilft dieses Feedback Hacktron, die Architektur, die Sicherheitskontrollen und die Risikotoleranz von Krisp besser zu verstehen. Das reduziert falsch positive Befunde und verbessert die Qualität der Befunde.

Bei komplexen Systemen wie dem von Krisp erstrecken sich Security Gates und Sicherheitsprimitive oft über mehrere Repositories und Anwendungen. Indem Hacktron Review seine eigene Analyse mit direktem Feedback des Teams von Krisp kombiniert, hat es Krisp zu einem hohen Signal-Rausch-Verhältnis verholfen und versteht die Kontrollen von Krisp laufend besser.