Vercel Security Review startet öffentliche Beta für Pro- und Enterprise-Teams

Prüfungen starten bei Push-Ereignissen

Laut Vercel wird Security Review automatisch ausgeführt, sobald Code in ein verbundenes GitHub-Repository gepusht wird. Da die Prüfungen bei Push-Ereignissen und nicht bei Pull Requests starten, werden auch direkte Pushes und Force-Pushes in einen Produktions-Branch geprüft. Wenn ein einzelner Push mehrere Projekte betrifft, werden alle betroffenen Projekte gemeinsam geprüft.

Jeder Befund enthält Angaben zum Projekt, zur Umgebung, zum Branch und zum Commit. Außerdem umfasst er eine Zusammenfassung, einen Lösungsvorschlag und eine von KI erzeugte Bewertung des Schweregrads. Security Review fügt jedem geprüften Commit einen eigenen GitHub-Check hinzu. Wenn ein Pull Request vorhanden ist, veröffentlicht das Tool die Befunde außerdem als Review-Kommentare, die auf den jeweiligen Eintrag im Dashboard verweisen. Bei öffentlichen Repositories bleiben die Details zu den Befunden im Dashboard.

Befunde beheben und Richtlinien festlegen

In einem Schwachstellenbericht kann ein Nutzer auf „Fix with Vercel Agent“ klicken. Dadurch wird der Befund an Vercel Agent übergeben. Der Agent schlägt eine Lösung vor und eröffnet zur Prüfung einen Pull Request. Vercel betont, dass nichts zusammengeführt wird, bevor der Nutzer es genehmigt.

Teams, die lieber ihren eigenen Coding-Agent verwenden, haben zwei Möglichkeiten. Sie können vercel security vulnerabilities in der Vercel CLI ausführen. Dafür ist Vercel CLI 65.10.0 oder höher erforderlich. Alternativ können sie jeden Befund als Markdown oder JSON kopieren.

Teams können außerdem Sicherheitsrichtlinien in natürlicher Sprache formulieren, entweder für alle Projekte oder für bestimmte Projekte. Damit erhält Security Review mehr Kontext darüber, wie sie ihre Anwendungen entwickeln. Eine Team-Richtlinie wird in den Agent-Einstellungen festgelegt, eine Projektrichtlinie in den Sicherheitseinstellungen des jeweiligen Projekts.

Preise und Einschränkungen

Security Review wird zum Vercel-Agent-Tarif abgerechnet. Das bedeutet: Die Inferenz des Anbieters wird zum zugrunde liegenden Token-Tarif ohne Aufschlag berechnet, zusätzlich fällt der Vercel Token Rate von 0,25 US-Dollar pro einer Million Tokens an, für Eingaben, zwischengespeicherte Tokens und Ausgaben. Da die Prüfungen bei jedem Push zu GitHub ausgeführt werden, weist Vercel darauf hin, dass die Kosten davon abhängen, wie häufig Teams pushen und wie viel Code sich ändert.

Sicherheitsprüfungen sind bis zum 10. November 2026 kostenlos. Mit Vercel Agent vorgenommene Korrekturen werden zum Vercel-Agent-Tarif abgerechnet.

Vercel grenzt den Umfang des Tools klar ein. Security Review analysiert Quellcode. Es handelt sich nicht um ein Sicherheits-Audit, und das Tool führt weder Laufzeit- noch Penetrationstests durch. Nach Angaben von Vercel hilft es dabei, Schwachstellen zu finden, garantiert aber nicht, dass eine Anwendung frei von ihnen ist.

Was das für Teams bedeutet

Für Pro- und Enterprise-Teams, die GitHub bereits mit Vercel nutzen, bringt die Beta automatisierte Schwachstellenprüfungen für jeden Push, einschließlich solcher Pushes, die Pull Requests umgehen. Der kostenlose Zeitraum endet am 10. November 2026. Teams, die die Funktion jetzt aktivieren, können daher sehen, wie sich das Prüfvolumen in Token-Kosten niederschlägt, bevor die Abrechnung beginnt. Die Funktion lässt sich in den Agent-Einstellungen aktivieren. Für weitere Details verweist Vercel auf seine Dokumentation und die Ankündigung.