Cisco Antares: Kleine Security-SLMs im Benchmark

Cisco Antares ist eine neue Familie spezialisierter Security-Sprachmodelle, die verwundbare Dateien in großen Code-Repositories lokalisieren soll. Cisco veröffentlicht Antares-350M und Antares-1B als Open-Weight-Modelle, allerdings nur nach manueller Zugangsprüfung auf Hugging Face. Das im Hersteller-Benchmark stärkste Antares-3B bleibt dagegen intern. Die entscheidende technische Aussage ist nicht, dass kleine Modelle allgemein besser als Frontier-LLMs sind, sondern dass gezieltes Training bei einer eng definierten Sicherheitsaufgabe Modellgröße teilweise schlagen kann.

Cisco stellte Antares am 21. Juli 2026 vor. Die Modelle arbeiten nicht wie allgemeine Chatbots und erzeugen auch nicht automatisch einen fertigen Patch. Sie bekommen eine Beschreibung der Schwachstellenklasse, navigieren in einer schreibgeschützten Kopie des Repositorys, untersuchen Kandidatendateien und liefern eine priorisierte Liste vermutlich betroffener Dateien. Das kann die erste Phase einer Sicherheitsanalyse beschleunigen, ersetzt aber weder statische Analyse noch menschliche Prüfung.

Cisco Antares in Kürze

Die wichtigsten Fakten lassen sich klar trennen:

• Veröffentlicht wurden Antares-350M und Antares-1B. Die Gewichte liegen auf Hugging Face, der Zugriff wird laut Modellseite jedoch manuell geprüft.
• Antares-3B ist nicht öffentlich verfügbar. Cisco nutzt die stärkste Variante im technischen Bericht für Vergleiche, hält sie aber ausdrücklich zurück.
• Die Basismodelle stammen aus IBMs Granite-4.0-Familie. Cisco trainierte sie für terminalgestützte Repository-Suche und Schwachstellenlokalisierung nach.
• Die Zielaufgabe heißt Vulnerability Localization. Antares soll nicht bloß erkennen, dass irgendwo ein Problem existiert, sondern die wahrscheinlich betroffenen Dateien finden.
• Der Hersteller-Benchmark umfasst 500 Aufgaben aus 290 realen Repositorys. Die Modelle erhalten nur eine CWE-Beschreibung und maximal 15 Terminalaktionen pro Aufgabe.
• Antares-1B erreicht laut Cisco einen File-F1-Wert von 0,209. Antares-3B kommt auf 0,223 und liegt damit knapp unter GPT-5.5 mit erhöhtem Reasoning-Aufwand bei 0,229.
• Die Ergebnisse sind Herstellerangaben. Der technische Bericht stammt von Foundation AI bei Cisco und ist nicht unabhängig verifiziert.

Diese Kombination ist technisch relevant: Antares verbindet kleine lokal betreibbare Modelle mit einer agentischen Suchschleife. Gleichzeitig zeigt der niedrige absolute File-F1-Wert, dass auch das beste getestete System weit von zuverlässiger Vollautomatisierung entfernt ist.

Was Vulnerability Localization von normaler Code-KI unterscheidet

Viele Coding-Modelle beantworten Fragen zu einzelnen Funktionen, erzeugen Patches oder lösen klar beschriebene Softwareprobleme. Antares zielt auf eine andere Phase des Sicherheitsprozesses. Nach Bekanntwerden einer Schwachstelle muss ein Team zunächst herausfinden, wo die relevante Implementierung im eigenen Code liegt.

Das ist schwieriger, als nach einem verdächtigen Funktionsnamen zu suchen. Die entscheidenden Hinweise können über Imports, Konfigurationsdateien, Aufrufketten und mehrere Module verteilt sein. Ein Muster wie fehlende Eingabevalidierung taucht zudem häufig in harmlosen und gefährlichen Kontexten auf. Das Modell muss deshalb Hypothesen bilden, Dateien lesen, neue Hinweise bewerten und seine Suche korrigieren.

Antares folgt laut technischem Bericht einer iterativen Suchstrategie:

1. Das Modell erhält eine Beschreibung der CWE-Kategorie.
2. Es untersucht die Repository-Struktur in einer isolierten Umgebung.
3. Es sucht nach relevanten Namen, Mustern und Aufrufpfaden.
4. Es liest ausgewählte Dateien und sammelt zusätzliche Evidenz.
5. Es verwirft schwache Kandidaten oder ändert die Suchrichtung.
6. Am Ende meldet es eine priorisierte Liste verdächtiger Dateien.

Die Modelle dürfen im Benchmark nicht auf das Netzwerk zugreifen und das Repository nicht verändern. Pro Aufgabe stehen 15 Terminalaktionen und eine abschließende Einreichung zur Verfügung. Damit misst der Test nicht nur Codewissen, sondern auch, ob ein Modell unter einem knappen Aktionsbudget sinnvoll navigiert.

Architektur und Training: Granite plus SFT und GRPO

Antares-350M, Antares-1B und Antares-3B basieren auf IBM-Granite-4.0-Checkpoints. Die Größenbezeichnungen beziehen sich auf ungefähr 350 Millionen, eine Milliarde und drei Milliarden Parameter. Cisco beschreibt eine zweistufige Nachtrainings-Pipeline.

In der ersten Stufe erfolgt Supervised Fine-Tuning auf Daten zu Cybersecurity-Reasoning, Repository-Erkundung und Terminalinteraktion. Das Modell lernt dabei nicht nur Sicherheitsbegriffe, sondern auch die Form einer sinnvollen Untersuchung: suchen, lesen, Belege sammeln und eine Dateiliste einreichen.

Danach folgt Group Relative Policy Optimization, kurz GRPO. Das Reinforcement-Learning-Verfahren bewertet vollständige Suchtrajektorien anhand überprüfbarer Datei-Treffer. Belohnt wird also nicht nur eine plausible Erklärung, sondern ob die gemeldeten Pfade mit der hinterlegten Ground Truth übereinstimmen.

Der Bericht führt den Leistungsgewinn vor allem auf dieses aufgabenspezifische Training zurück. Das ist plausibel, aber noch kein Beweis für allgemeine Überlegenheit kleiner Modelle. Antares wurde exakt für den untersuchten Ablauf optimiert. Auf breiteren Coding-, Exploit- oder Patch-Benchmarks können andere Modelle deutlich besser abschneiden.

Benchmark-Einordnung: Klein schlägt groß bei einer engen Aufgabe

Cisco verwendet den Vulnerability Localization Benchmark, kurz VLoc Bench. Er enthält 500 Aufgaben aus 290 realen, verwundbaren Repositorys. Jede Aufgabe verbindet einen Repository-Snapshot mit den tatsächlich betroffenen Implementierungsdateien. Rund 78 Prozent der Einträge besitzen laut Bericht zugeordnete CVE-Kennungen.

Die primäre Kennzahl ist File F1. Sie bildet das harmonische Mittel aus Präzision und Recall auf Dateiebene. Ein Modell wird also dafür belohnt, betroffene Dateien zu finden, ohne gleichzeitig zu viele falsche Kandidaten einzureichen. Alle 500 Aufgaben werden gleich gewichtet und die Ergebnisse über drei Läufe gemittelt.

Die wichtigsten Werte aus der Grafik und dem technischen Bericht:

• GPT-5.5 mit erhöhtem Reasoning-Aufwand: File F1 von 0,229, Präzision 0,310, Recall 0,221.
• Antares-3B: File F1 von 0,223, Präzision 0,303, Recall 0,221.
• GPT-5.5 mit Standardeinstellung: File F1 von 0,221.
• Antares-1B: File F1 von 0,209, Präzision 0,262, Recall 0,224.
• GLM-5.2: File F1 von 0,186.
• Gemini 3 Pro: File F1 von 0,152.
• Antares-350M: File F1 von 0,135.
• Gemini 2.5 Flash: File F1 von 0,102.
• GPT-5 Mini: File F1 von 0,098.

Antares-1B besitzt in dieser Auswertung mit 0,224 den höchsten Recall der verglichenen Systeme. Das bedeutet nicht automatisch, dass es insgesamt am zuverlässigsten ist. Der geringere Präzisionswert zeigt, dass das Modell mehr Kandidaten findet, dabei aber auch häufiger falsche Dateien einbezieht. Antares-3B arbeitet konservativer und erreicht eine bessere Balance.

Bemerkenswert ist der Abstand zwischen Modellgröße und Ergebnis. Das nicht veröffentlichte Antares-3B liegt knapp hinter GPT-5.5 und vor GLM-5.2, obwohl GLM-5.2 im Bericht mit 753 Milliarden Parametern geführt wird. Antares-1B liegt ebenfalls vor Gemini 3 Pro und mehreren viel größeren Open-Weight-Modellen.

Der korrekte Schluss lautet daher: Spezialisierte Interaktionstrainings können auf einer eng umrissenen Repository-Aufgabe wichtiger sein als die reine Parameterzahl. Daraus folgt nicht, dass Antares ein besserer allgemeiner Coding-Assistent als GPT-5.5, Gemini 3 Pro oder GLM-5.2 wäre.

Warum die absoluten Werte zur Vorsicht zwingen

Ein File F1 von 0,223 ist für ein kleines spezialisiertes Modell ein interessantes Forschungsergebnis, aber kein Wert, auf dessen Basis Sicherheitsentscheidungen vollautomatisch getroffen werden sollten. Selbst das beste System verfehlt einen erheblichen Teil der Ground Truth oder meldet zusätzliche Kandidaten.

Der Bericht benennt klare Schwachstellen. Im schwierigsten Viertel des Benchmarks fällt Antares-3B unter 0,04 File F1, während es im leichtesten Viertel 0,55 erreicht. Besonders problematisch sind große Repositorys, viele Dateien und Schwachstellen, deren Implementierung über mehrere Dateien verteilt ist.

Die Modelle finden dann häufig einen plausiblen Einstiegspunkt, verpassen aber weitere Dateien entlang einer Aufrufkette, Konfigurationsgrenze oder Validierungslogik. Mehr Terminalaktionen lösen das Problem nicht automatisch. Im Bericht verbessert sich GPT-5.5 bis ungefähr 30 Aktionen nur moderat; bei 100 Aktionen sinkt die Leistung, weil das Modell zu viele Kandidaten sammelt und die Evidenz schlechter priorisiert.

Außerdem untersucht die veröffentlichte Hauptevaluation nur Phase A des Benchmarks: Alle Aufgaben enthalten tatsächlich eine Schwachstelle. Phase B, in der gepatchter Code vorliegt und das Modell korrekt „keine Schwachstelle“ melden müsste, wird im Antares-Bericht nicht ausgewertet. Für den produktiven Einsatz ist genau diese Unterscheidung jedoch wichtig, weil sie Fehlalarme und unnötige Prüfkosten beeinflusst.

Laufzeit und Kosten: Starkes Ergebnis mit engem Gültigkeitsbereich

Cisco betont neben der Modellqualität vor allem die Effizienz. Die Antares-Varianten liefen auf einer einzelnen Nvidia H100 mit 16 parallelen Workern. GLM-5.2 wurde über OpenRouter und GPT-5.5 über die OpenAI-API ausgewertet.

Für den vollständigen Durchlauf mit 500 Aufgaben nennt Cisco folgende Werte:

• Antares-350M: geschätzte Kosten von 0,60 US-Dollar.
• Antares-1B: geschätzte Kosten von 0,71 US-Dollar.
• Antares-3B: geschätzte Kosten von 0,82 US-Dollar.
• GLM-5.2: etwa 50 Minuten und 12,50 US-Dollar.
• GPT-5.5: ungefähr fünf Stunden und 141 US-Dollar.

Cisco leitet daraus einen Kostenvorteil der Antares-Familie von 15,2-fach gegenüber GLM-5.2 und 172-fach gegenüber GPT-5.5 ab. Diese Zahlen sind nicht direkt auf jede Infrastruktur übertragbar. Sie hängen von H100-Mietpreisen, Parallelisierung, API-Preisen, Rate Limits und der konkreten Serving-Konfiguration ab. Die Antares-Werte sind geschätzte lokale Inferenzkosten, während die Vergleichswerte aus kommerziellen APIs stammen.

Trotz dieser Einschränkung ist die Richtung relevant. Ein kleines lokales Modell kann bei wiederholten Repository-Scans wirtschaftlich attraktiver sein als ein allgemeines Frontier-Modell. Besonders wichtig ist dabei nicht nur der Preis, sondern dass Quellcode innerhalb der eigenen Vertrauensgrenze bleiben kann.

Zugang: Open Weight heißt hier nicht frei verfügbar

Cisco bezeichnet Antares-350M und Antares-1B als Open-Weight-Modelle und die Hugging-Face-Seiten nennen Apache 2.0 als Lizenz. Der praktische Zugang ist dennoch eingeschränkt. Auf der Modellseite steht, dass Interessenten Kontaktdaten teilen, Bedingungen akzeptieren und eine manuelle Prüfung durchlaufen müssen.

Damit gilt zum Start:

• Die Modellkarten und Sammlungsseiten sind öffentlich sichtbar.
• Die Gewichte von Antares-350M und Antares-1B sind zugangsbeschränkt.
• Anfragen werden laut Hugging Face manuell geprüft.
• Antares-3B ist überhaupt nicht Teil der Veröffentlichung.
• Die mit Antares-1B gebündelte Kommandozeilenanwendung liegt ebenfalls im zugangsbeschränkten Repository.

Das ist keine breite, sofortige Download-Verfügbarkeit. Für Entwickler bedeutet es, dass ein Test zunächst von Ciscos Freigabe abhängt. Der stärkste Benchmarkwert stammt zudem aus einer Variante, die externe Teams nicht selbst reproduzieren können.

Wie Antares in einen Security-Workflow passt

Antares sollte als zusätzlicher Triage-Baustein verstanden werden, nicht als Ersatz für etablierte Sicherheitswerkzeuge. Cisco selbst nennt weiterhin Abhängigkeits- und Software-Composition-Analyse, Secret Scanning, dynamische Tests, Container- und Infrastrukturprüfungen, Threat Modeling sowie menschliches Review als notwendig.

Ein sinnvoller Ablauf könnte so aussehen:

1. Ein Advisory, eine CVE oder eine CWE-Kategorie löst eine Untersuchung aus.
2. Statische Scanner und Abhängigkeitsanalysen liefern erste strukturierte Hinweise.
3. Antares durchsucht eine isolierte Repository-Kopie und priorisiert mögliche Implementierungsdateien.
4. Sicherheitsexperten prüfen die Kandidaten, Datenflüsse und Aufrufketten.
5. Erst danach folgen Patch, Tests, Regression-Analyse und Freigabe.

Die Antares-Kommandozeilenanwendung kann Ergebnisse laut Modellkarte menschenlesbar, als JSON oder im SARIF-Format ausgeben. Dadurch ist eine Einbindung in Code-Scanning- und CI/CD-Prozesse grundsätzlich möglich. Sie verbindet sich mit einem vom Nutzer konfigurierten OpenAI-kompatiblen Inferenzendpunkt.

Der technische Bericht beschreibt zusätzliche Schutzmaßnahmen: Repository-Dateien werden in eine temporäre, schreibgeschützte Kopie übernommen, externe Symlinks verworfen und Netzwerkzugriffe gesperrt. Inhalte aus dem Repository können dennoch Prompt-Injection-Versuche enthalten. Cisco scannt zurückgelieferte Inhalte deshalb auf entsprechende Muster und isoliert Verdachtsfälle. Vollständig gelöst ist dieses Risiko damit nicht.

Wer Antares testet, sollte außerdem prüfen, welche Inhalte an den gewählten Inferenzendpunkt übertragen werden. Laut Bericht können Aufgabenbeschreibung, Pfade, Dateiinventar und ausgewählte Quelltextausschnitte an den konfigurierten Endpunkt gehen. Lokale Traces können Prompts, Antworten, Quelltext, Befehle, Pfade und Git-Metadaten speichern. Wirklich lokal bleibt der Code nur, wenn auch das Serving innerhalb der eigenen Umgebung läuft.

Was Entwickler und Security-Teams testen sollten

Ein belastbarer Praxistest sollte nicht nur den Cisco-Benchmark wiederholen. Entscheidend ist die Leistung auf den eigenen Repository-Strukturen und Schwachstellenklassen.

Wichtige Testfragen sind:

• Wie hoch sind Präzision und Recall auf historischen, intern bestätigten Schwachstellen?
• Findet Antares mehrteilige Implementierungen über mehrere Dateien hinweg?
• Wie verhält sich das Modell bei gepatchten oder nicht betroffenen Repositorys?
• Wie viele Fehlalarme entstehen pro Scan und wie viel Review-Zeit kosten sie?
• Bleiben alle Quelltextdaten, Logs und Inferenzanfragen tatsächlich lokal?
• Ist die Ergebnisliste für Analysten nachvollziehbar und reproduzierbar?
• Ergänzt Antares vorhandene Scanner oder dupliziert es nur deren Treffer?
• Wie verändert sich die Leistung bei anderen Sprachen, Build-Systemen und sehr großen Monorepos?

Besonders wichtig ist ein Vergleich mit dem bestehenden Sicherheitsprozess. Ein niedriger Inferenzpreis ist wertlos, wenn die zusätzliche Ergebnisliste überwiegend Fehlalarme erzeugt. Umgekehrt kann ein mäßiger F1-Wert operativ nützlich sein, wenn Antares regelmäßig schwer auffindbare Dateien identifiziert und die Suchzeit erfahrener Analysten verkürzt.

Bedeutung für den Markt für Security-Modelle

Antares zeigt einen Gegenentwurf zum Trend, jede Aufgabe an immer größere allgemeine Modelle zu delegieren. Sicherheitsarbeit besteht aus vielen eng definierten, wiederkehrenden Teilprozessen. Für solche Prozesse können kleine spezialisierte Modelle günstiger, schneller und leichter kontrollierbar sein.

Der Ansatz passt zu Ciscos breiterem Security-AI-Stack aus Foundry Security Spec und CodeGuard. Foundry Security Spec beschreibt evaluierbare agentische Sicherheitsabläufe, während CodeGuard Regeln für sicherere KI-generierte Software bereitstellt. Antares adressiert die Lokalisierungsphase zwischen externer Schwachstelleninformation und konkretem Quellcode.

Zum Vergleich lohnt sich auch unser Artikel zu OpenAI Daybreak und GPT-5.5-Cyber. Dort steht ein deutlich größeres Modell- und Agentensystem im Mittelpunkt. Der aktuelle OpenAI-Hugging-Face-Sicherheitsvorfall zeigt zugleich, warum isolierte Testumgebungen, klare Tool-Grenzen und reproduzierbare Sicherheitsprüfungen nicht optional sind.

Fazit: Relevanter Spezialist mit eingeschränktem Zugang

Cisco Antares ist ein technisch interessanter Beleg dafür, dass aufgabenspezifisch trainierte kleine Modelle bei eng definierten Security-Workflows deutlich größere Generalisten übertreffen können. Antares-1B erreicht im Hersteller-Benchmark einen File F1 von 0,209 und den höchsten Recall im Vergleichsfeld. Das nicht veröffentlichte Antares-3B liegt mit 0,223 knapp hinter GPT-5.5 mit erhöhtem Reasoning-Aufwand.

Die Einschränkungen sind ebenso wichtig wie die Leistungswerte. Die stärkste Variante bleibt intern, die beiden veröffentlichten Gewichtsmodelle sind manuell freizuschalten, die Hauptevaluation prüft keine sauberen Repositorys und die absoluten F1-Werte reichen nicht für autonome Sicherheitsentscheidungen. Antares ist daher vor allem ein Triage-Werkzeug für kontrollierte Tests mit menschlichem Review.

Für Entwickler und Security-Teams lohnt sich der Zugang, wenn lokale Code-Verarbeitung, niedrige Inferenzkosten und wiederholte CWE-basierte Scans wichtig sind. Eine produktive Einführung sollte jedoch erst nach Tests auf eigenen Repositorys, einer Datenschutzprüfung und einem direkten Vergleich mit vorhandenen statischen und agentischen Scannern erfolgen.

Häufige Fragen zu Cisco Antares

Was ist Cisco Antares?

Cisco Antares ist eine Familie kleiner Sprachmodelle für die agentische Lokalisierung verwundbarer Dateien in Software-Repositorys. Die Modelle navigieren schreibgeschützt durch Code, sammeln Hinweise und melden priorisierte Kandidatendateien.

Sind Antares-350M und Antares-1B frei verfügbar?

Sie werden als Open-Weight-Modelle mit Apache-2.0-Lizenz geführt, der Download ist zum Start aber zugangsbeschränkt. Hugging Face verlangt eine Anmeldung, die Weitergabe von Kontaktdaten und eine manuell geprüfte Freigabe.

Ist Antares-3B öffentlich erhältlich?

Nein. Cisco verwendet Antares-3B im technischen Bericht und in den Benchmarkgrafiken, hält die Gewichte aber für interne Nutzung zurück.

Schlägt Antares GPT-5.5?

Nicht insgesamt. Im Cisco-Benchmark für Vulnerability Localization erreicht Antares-3B 0,223 File F1 und liegt damit knapp unter GPT-5.5 mit erhöhtem Reasoning-Aufwand bei 0,229. Die Zahlen gelten nur für diese enge Aufgabe und sind Herstellerangaben.

Kann Antares statische Security-Scanner ersetzen?

Nein. Antares soll die Repository-Triage ergänzen, nicht Software-Composition-Analyse, Secret Scanning, dynamische Tests, Containerprüfungen oder menschliches Security-Review ersetzen.