Aus der Praxis
Wissen Sie, welche Bibliotheken in Ihrer Software stecken – und welche seit heute Nacht verwundbar sind?
Ein Software-Inventar, das jede Nacht neu prüft
Ausgangslage
Der Cyber Resilience Act verpflichtet Hersteller, die Komponenten ihrer Software zu erfassen; NIS2 verpflichtet wesentliche und wichtige Einrichtungen, ihre Lieferkette abzusichern. Die meisten erfahren von einer neuen Schwachstelle erst, wenn sie zufällig neu bauen oder jemand nachfragt.
Was wir getan haben
Wir haben dafür ein eigenes Werkzeug gebaut. Projekte melden sich über ihre CI selbst an und liefern nur ihre Stückliste (SBOM), nie Quellcode. Alle Stücklisten werden jede Nacht gegen aktuelle Schwachstellendaten geprüft. Eine lokal betriebene KI ordnet Projekte ein und stellt Rückfragen; jeder Sicherheitsbefund bleibt deterministisch nachvollziehbar.
Ergebnis
Eine neue Schwachstelle fällt auf, auch wenn niemand neu gebaut hat. Im Einsatz für unsere eigenen Systeme.
Was wir gelernt haben
Die KI gibt wieder, was die Dokumentation eines Projekts behauptet, nicht, wo es tatsächlich läuft. Deshalb entscheidet bei uns der Befund aus dem laufenden System, nicht die Einschätzung des Modells: Determinism first, AI second.