Google Mantis führt Coding-Agenten durch Sicherheitsprüfungen

Worum es geht

Google Mantis ist ein quelloffener Werkzeugkasten aus Anweisungen und Arbeitsabläufen für KI-Coding-Agenten. Er soll Sicherheitsprüfungen nicht als eine einzige, schwer nachvollziehbare Aufforderung behandeln, sondern in getrennte Schritte zerlegen: Architektur verstehen, Bedrohungen modellieren, verdächtige Stellen suchen, Funde prüfen, Fehler reproduzieren, Korrekturen erstellen und einen Bericht ausgeben. Google veröffentlichte das Repository im Juni 2026 unter der Apache-2.0-Lizenz.

Mantis ist kein gewöhnlicher Schwachstellenscanner mit einer eigenen Erkennungsengine. Die Skills steuern einen vorhandenen Coding-Agenten und dessen Modell. Das Projekt nennt Gemini CLI und Antigravity CLI als erprobte Beispiele, beschreibt den Ansatz aber als grundsätzlich unabhängig vom jeweiligen Agenten. Google kennzeichnet Mantis ausdrücklich als Demonstrationsprojekt, nicht als offiziell unterstütztes Produkt und nicht als für Produktionsumgebungen vorgesehen.

Was Mantis tatsächlich macht

Die Pipeline besteht aus aufeinander aufbauenden Befehlen. Sie kann zuerst die Versionshistorie und die Struktur eines Repositorys auswerten, daraus eine Wissensbasis und ein Bedrohungsmodell erstellen und anschließend einen Prüfplan ableiten. Weitere Stufen suchen nach möglichen Schwachstellen, entfernen Dubletten, filtern Fehlalarme und bewerten, ob ein Fund praktisch relevant sein könnte.

Besonders sensibel sind die späteren Schritte: Mantis kann Code zur Reproduktion eines Fehlers erzeugen, diesen in einer abgeschotteten Umgebung ausführen, mögliche Angriffsketten kombinieren und minimale Patches vorschlagen. Ergebnisse können anschließend kalibriert und in einem lesbaren Prüfbericht zusammengeführt werden. Installiert werden die Skills laut Repository mit npx skills add google/mantis; für Reproduktion und Patchtests empfiehlt die Dokumentation Docker und zusätzlich gVisor mit deaktiviertem Netzwerk.

Warum das wichtig ist

Coding-Agenten können große Codebasen durchsuchen und Hypothesen schnell verfolgen. Ohne einen strukturierten Ablauf springen sie jedoch leicht zwischen Vermutungen, verändern Dateien zu früh oder melden nicht überprüfte Probleme. Mantis trennt Recherche, negative Prüfung, Reproduktion und Reparatur. Dadurch entsteht ein kontrollierbarer Prozess, in dem Teams Zwischenergebnisse begutachten und einzelne Stufen an ihre Architektur anpassen können.

Für AppSec- und DevSecOps-Teams ist außerdem die Anpassbarkeit interessant. Die Dokumentation nennt neben Websoftware auch Hardwarebeschreibung, Infrastructure as Code, ML-Pipelines und Firmware als mögliche Domänen. Der Nutzen hängt jedoch vollständig von Modell, Agent, Sandbox, Projektwissen und den ergänzten Regeln ab. Mantis ersetzt weder deterministische Scanner noch manuelle Expertise; es kann beide um eine agentische Untersuchungsschicht ergänzen.

Einfach erklärt

Mantis funktioniert wie eine Werkstatt mit mehreren Prüfstationen. Ein Mechaniker schaut nicht nur kurz unter die Motorhaube und ruft sofort „defekt“. Erst wird der Aufbau dokumentiert, dann wird ein Verdacht getestet, anschließend wird der Fehler unter sicheren Bedingungen nachgestellt und erst danach ein Ersatzteil eingebaut. Jede Station kann einen falschen Verdacht stoppen.

Praktisches Beispiel

Ein Team möchte eine Webanwendung mit 180.000 Codezeilen prüfen. Es klont das Repository in eine isolierte virtuelle Maschine ohne Zugang zu Produktionsdaten und startet Mantis im interaktiven Modus. Zuerst begrenzt es den Test auf den Datei-Upload und die Verarbeitung von Archiven. Der Agent erstellt ein Bedrohungsmodell, untersucht Eingabegrenzen und meldet vier mögliche Probleme.

Nach Deduplizierung und Gegenprüfung bleiben zwei Kandidaten. Nur für diese erzeugt der Agent Reproduktionscode, der in einem Container ohne Netzwerk läuft. Einer der Funde lässt sich nicht bestätigen; der andere führt bei einer präparierten Archivdatei zu einem Pfadfehler. Ein Sicherheitsexperte prüft den Nachweis, genehmigt einen minimalen Patch und lässt den Test erneut laufen. Der sinnvolle Einstieg ist genau so eng: ein kleiner, nicht produktiver Codebereich, manuelle Freigabe jedes Befehls und ein Vergleich mit vorhandenen SAST-Ergebnissen.

Einordnung und Grenzen

Erstens können Sprachmodelle Schwachstellen halluzinieren, echte Probleme übersehen oder einen scheinbar erfolgreichen Nachweis falsch interpretieren. Jeder Fund muss von einer qualifizierten Person geprüft werden. Zweitens erzeugen Reproduktions- und Patchstufen ausführbaren Code. Die Mantis-Dokumentation warnt deshalb vor dem Betrieb auf Rechnern mit Produktionszugang, sensiblen Daten oder internen Netzen und empfiehlt eine eigene, eingeschränkte virtuelle Maschine.

Drittens sind die Skills nur der Ablauf, nicht die Sicherheitsgrenze. Ein Agent kann Anweisungen missachten, eine Sandbox falsch verwenden oder durch manipulierten Repository-Inhalt beeinflusst werden. Unbeaufsichtigte Läufe brauchen zusätzliche Isolation, Netzwerkbeschränkungen, unveränderliche Snapshots und Freigabepunkte. Mantis ist damit ein Werkzeug für erfahrene Sicherheitsteams, kein automatischer Beweis, dass Software sicher ist.

SEO- und GEO-Schlüsselbegriffe

Google Mantis, Security Review Skills, Coding Agents, Anwendungssicherheit, DevSecOps, Bedrohungsmodell, Schwachstellenprüfung, gVisor, Docker Sandbox, Gemini CLI, Apache-2.0, SAST