Laut SiliconANGLE reparierte VR-1.1 im öffentlichen Reparatur-Benchmark LiveCVEBench 57,9 Prozent von 190 Aufgaben; Claude Code von Anthropic und Codex von OpenAI kamen jeweils auf 45,3 Prozent. Damit liegt das neue Modell von Cogent Security in diesem Benchmark vor den beiden Vergleichssystemen. Der Benchmark stammt von Forschern des Harbin Institute of Technology und von Kuaishou Technology und verwandelt neu offengelegte CVEs in Reparaturaufgaben in 14 Programmiersprachen.

Die Zahl allein sagt deshalb wenig darüber, wie belastbar die einzelnen Patches sind.

Ein Patch muss mehr können als den Fehlerbericht stoppen

LiveCVEBench prüft einen Patch nicht nur daran, ob er den gemeldeten Fehler stoppt. Laut den veröffentlichten Benchmark-Regeln gilt eine Korrektur erst als bestanden, wenn Sicherheitstests belegen, dass die Schwachstelle geschlossen ist, und Funktionstests zeigen, dass die Software weiterhin wie vorgesehen funktioniert. Diese doppelte Prüfung trennt eine echte Reparatur von einem Patch, der nur den Fehlerbericht zum Schweigen bringt.

Auch neue Fehler, die die Änderung selbst eingeführt hat, fließen in diese Prüfung ein. Wer eine Sicherheitslücke schließt und dabei eine neue aufreißt, hat aus Sicht des Benchmarks nichts gewonnen.

VR-1.1 schreibt zusätzlich Regressionstests, die den Fehler erkennen, falls eine spätere Codeänderung ihn zurückbringt. Damit endet die Arbeit des Modells nicht mit dem grünen Testlauf direkt nach dem Patch.

Der Agent repariert, prüft und lernt aus dem Fehlschlag

Ein Beispiel aus dem Material: das Prüfen eines Index vor seiner Verwendung.

Während der Reparaturphase blockierte Cogent den ausgehenden Netzwerkzugriff und hielt die Bewertungstests zurück, bis jeder Agent fertig war. Das geht aus der von Cogent Research veröffentlichten Methodik hervor, die auch festhält, dass sich die Inferenzbudgets der drei Systeme unterschieden.

Scheitert ein Versuch, fließen Diagnose und Fehlerdetails in den nächsten ein, wie SiliconANGLE ergänzt.

Cogent hatte VR-1 bereits im Juli 2026 eingeführt, um Angriffspfade zu finden und zu belegen, die ein Angreifer innerhalb eines Unternehmens erreichen könnte.

Ein Vorsprung mit Sternchen

Laut SiliconANGLE setzt jede Aufgabe einen Agenten in eine echte Entwicklungsumgebung mit einem Schwachstellenbericht und der betroffenen Codebasis.