JFrog will KI-Agenten direkt in der Software-Lieferkette kontrollieren

KI-Agenten verändern nicht nur die Geschwindigkeit der Softwareentwicklung, sondern auch die Sicherheitsarchitektur dahinter. Wenn autonome Systeme selbst entscheiden, welche Pakete, Plugins, Modelle oder MCP-Server sie einsetzen, greifen klassische DevSecOps-Kontrollen zunehmend zu kurz. JFrog reagiert darauf mit einem AgentSecOps-Ansatz, der Vertrauen und Richtlinien direkt in die Software-Lieferkette integrieren soll.

JFrog erweitert seine Software Supply Chain Plattform um neue Funktionen zur Absicherung sogenannter agentischer Belegschaften. Im Mittelpunkt steht die Idee, sämtliche Software- und KI-Artefakte, die Coding-Agenten verwenden oder erzeugen, über eine zentrale und kontrollierte Instanz bereitzustellen.

Damit adressiert das Unternehmen ein Problem, das mit der zunehmenden Autonomie von KI-Agenten an Bedeutung gewinnt: Anders als menschliche Entwickler halten Agenten nicht zwangsläufig inne, um Pakete, Abhängigkeiten oder externe Quellen auf Vertrauenswürdigkeit zu überprüfen. Sie verfolgen vielmehr das vorgegebene Ziel und wählen dafür eigenständig Werkzeuge und Komponenten aus.

KI-Agenten verändern das Sicherheitsmodell von DevSecOps

„KI-Coding-Agenten schreiben nicht nur Software in Maschinengeschwindigkeit, sie nutzen sie auch in großem Umfang“, erklärt Yoav Landman, Mitgründer und CTO von JFrog . Viele etablierte DevSecOps-Kontrollen seien jedoch unter der Annahme entwickelt worden, dass weiterhin ein menschlicher Entwickler die entscheidenden Schritte ausführt. Genau diese Voraussetzung verliere zunehmend ihre Gültigkeit.

Agenten können eigenständig Abhängigkeiten suchen, klassische Softwarepakete installieren oder neue KI-spezifische Ressourcen wie Skills, Kontextdateien und Model Context Protocols (MCPs) einbinden. Dadurch wächst die Zahl potenzieller Quellen, aus denen sich Schadcode, manipulierte Pakete oder unerwünschte Instruktionen in Entwicklungsprozesse einschleusen können.

JFrog will deshalb die Vertrauensprüfung unmittelbar in den Software-Lifecycle integrieren. Sämtliche Artefakte sollen möglichst aus einem kontrollierten „System of Record“ stammen und dort geprüft, versioniert und anhand von Richtlinien freigegeben werden.

Agentic AI trifft auf ein noch unreifes Governance-Modell

Der Handlungsdruck dürfte steigen. Laut Gartners „Hype Cycle for Agentic AI 2026 “ setzen bislang erst 17 Prozent der Unternehmen KI-Agenten produktiv ein. Mehr als 60 Prozent planen jedoch entsprechende Projekte innerhalb der kommenden zwei Jahre.

Gleichzeitig prognostiziert Gartner, dass bis Ende 2027 mehr als 40 Prozent der Agentic-AI-Projekte eingestellt werden könnten. Als Gründe nennt das Marktforschungsunternehmen unter anderem steigende Kosten, einen unklaren geschäftlichen Nutzen und unzureichende Mechanismen zur Risikokontrolle.

Hinzu kommt ein technisches Problem: Coding-Agenten können stark auf die Erfüllung ihres Auftrags optimiert sein. Sicherheitsvorgaben, die einer erfolgreichen Ausführung scheinbar im Weg stehen, können dadurch zu Hindernissen werden, die das System zu umgehen versucht. Für die Software-Lieferkette entsteht damit eine neue Angriffsfläche. Nicht mehr ausschließlich der Mensch entscheidet, welche Komponenten in Entwicklungsumgebungen gelangen.

AgentSecOps soll DevSecOps auf autonome Systeme übertragen

JFrog fasst seine neuen Funktionen unter dem Begriff AgentSecOps zusammen. Der Ansatz soll etablierte Sicherheits- und Governance-Prinzipien aus DevSecOps auf autonome KI-Agenten übertragen.

Eine zentrale Rolle übernimmt dabei das AI Asset Scanning. Modelle, MCPs, Skills und Plugins sollen indexiert und auf riskante oder schädliche Inhalte untersucht werden. Auch Markdown-Dateien, Skill-Skripte und Instruktionsdateien können semantisch analysiert werden, um verdächtiges Verhalten bereits vor der Nutzung zu erkennen.

Mit einer Agent Plugins Registry sollen Unternehmen außerdem bestimmen können, welche Erweiterungen Coding-Agenten verwenden dürfen. Über den sogenannten Agent Guard lassen sich ausschließlich freigegebene Plugins beispielsweise für Claude Code, Cursor oder Visual Studio Code zulassen.

Eigene Registry für Prompts, Skills und MCP-Server

Mit der Integration einer Agent Package Manager Registry greift JFrog zudem den von Microsoft vorangetriebenen APM-Ansatz auf. Unternehmen können damit KI-Artefakte wie Prompts, Skills oder MCP-Server ähnlich wie klassische Softwarepakete behandeln: Sie lassen sich paketieren, versionieren, verteilen und hinsichtlich ihrer Abhängigkeiten nachvollziehen.

Das könnte insbesondere dort relevant werden, wo KI-Agenten zunehmend aus modularen Komponenten zusammengesetzt werden. Denn ohne kontrollierte Versionierung besteht das Risiko, dass sich Skills, Prompts oder externe Agenten-Komponenten unbemerkt verändern.

Version-Pinning und nachvollziehbare Abhängigkeiten sollen diese Form der Drift begrenzen.

Richtlinien sollen direkt im Entwicklerwerkzeug greifen

Der Agent Guard soll Unternehmensrichtlinien unmittelbar innerhalb der von Entwicklern eingesetzten Werkzeuge erzwingen. Dazu gehören beispielsweise Claude Code, Cursor und Visual Studio Code.

Über Allow- und Deny-Regeln können Organisationen definieren, welche KI-Assets ein Agent verwenden darf.

Ein zusätzliches JFrog Agent Plugin verbindet Coding-Agenten direkt mit der JFrog Plattform. Unterstützt werden laut Anbieter unter anderem Claude Code, Cursor, Codex, GitHub Copilot und Kiro.

Organisatorische Sicherheitsvorgaben sollen dadurch nicht außerhalb des Agenten-Workflows liegen, sondern unmittelbar Bestandteil seiner Arbeitsumgebung werden. Vertrauenswürdige Paketquellen statt direkter Registry-Zugriffe

Auch der Bezug klassischer Software-Abhängigkeiten wird Teil des Sicherheitsmodells.

Über Agent Package Resolution werden KI-Agenten authentifiziert und Paketabhängigkeiten über JFrog Artifactory aufgelöst. Dadurch sollen nur Komponenten eingesetzt werden, die zuvor überprüft wurden und den Sicherheitsrichtlinien des Unternehmens entsprechen. Zusätzlich setzt JFrog auf eine Kontrolle auf Netzwerkebene.

Der bereits vorgestellte Traffic Controller kann gemeinsam mit SASE-Plattformen von Cloudflare, Netskope und Zscaler direkte Zugriffe auf öffentliche Registries blockieren. Stattdessen wird der Datenverkehr über Artifactory geleitet. Damit soll verhindert werden, dass Entwickler oder autonome Agenten Sicherheitskontrollen umgehen, indem sie Pakete direkt aus öffentlichen Quellen beziehen.

Die Software-Lieferkette bekommt eine neue Kontrollinstanz

Der entscheidende Wandel liegt weniger in einer einzelnen Funktion als im zugrunde liegenden Sicherheitsmodell. Wenn KI-Agenten zunehmend eigenständig Code erzeugen, Abhängigkeiten auswählen und Software bereitstellen, reicht es nicht mehr aus, lediglich das Ergebnis am Ende der Pipeline zu überprüfen. Sicherheitsrichtlinien müssen bereits dort greifen, wo ein Agent entscheidet, welche Ressource er als Nächstes verwendet.

JFrog versucht deshalb, menschlich erzeugte und von Agenten produzierte Artefakte innerhalb derselben Governance-Struktur zusammenzuführen.

Die Software-Lieferkette übernimmt damit zunehmend eine Funktion, die sich mit einem Immunsystem vergleichen lässt: Nicht erst kompromittierte Anwendungen sollen erkannt werden, sondern potenziell riskante Komponenten bereits beim Eintritt in den Entwicklungsprozess.

Billy Norwood, Chief Information Security Officer bei FFF Enterprises, sieht insbesondere im frühen Eingreifen einen Vorteil. Seit Einführung von JFrog habe das Unternehmen weniger Schwachstellen festgestellt und könne Sicherheitsprobleme früher im Entwicklungsprozess beheben.

Mit zunehmender Verbreitung autonomer Coding-Agenten dürfte genau diese Fähigkeit wichtiger werden. Die zentrale Frage lautet künftig nicht mehr nur, welchen Code ein KI-Agent erzeugt, sondern ebenso, welchen Komponenten und Quellen er währenddessen vertrauen darf. Die neuen Funktionen sind nach Angaben von JFrog ab sofort verfügbar.