Schatten-KI
JFrog erweitert AI Security um lokale Schatten-KI-Erkennung und BYOK-Scanning
Neue Funktionen schützen vor Shadow AI und gefährlichen KI-Agenten
KI-Agenten, Plugins und lokale Sprachmodelle verändern die Softwareentwicklung – und schaffen gleichzeitig neue, häufig unsichtbare Angriffsflächen. Während Unternehmen ihre CI/CD-Pipelines und Software-Repositories absichern, entstehen auf den Rechnern ihrer Entwickler zunehmend unkontrollierte KI-Umgebungen. JFrog erweitert deshalb seine AI-Security-Plattform um Funktionen, die Schatten-KI bereits am Arbeitsplatz erkennen und potenziell gefährliche KI-Assets überprüfen sollen.
Der Software-Supply-Chain-Spezialist JFrog hat auf der swampUP Europe 2026 in Barcelona neue Sicherheitsfunktionen für seine Plattform JFrog AI Security vorgestellt. Im Mittelpunkt stehen die lokale Erkennung nicht autorisierter KI-Assets sowie die Sicherheitsanalyse von KI-Modellen, Agent Skills und Plugins über kundeneigene Large Language Models (LLMs).
Mit Local Shadow AI Detection erweitert JFrog seine bestehenden Kontrollmechanismen auf die Endgeräte der Entwickler. Die Funktion soll KI-Komponenten sichtbar machen, die außerhalb etablierter Entwicklungsprozesse installiert und betrieben werden und deshalb von klassischen Pipeline- und Registry-Kontrollen nicht erfasst werden.
Ergänzend führt das Unternehmen AI Asset Scanning mit Bring Your Own LLM Key (BYOK) ein. Damit können Organisationen KI-Assets mithilfe eigener LLM-Zugänge analysieren, ohne auf eine von JFrog betriebene Modellinfrastruktur angewiesen zu sein.
Die Erweiterungen adressieren eine zunehmend kritische Sicherheitslücke: KI-Agenten und ihre Erweiterungen können auf Quellcode, interne Systeme und sensible Informationen zugreifen, ohne dass Sicherheitsverantwortliche sämtliche eingesetzten Komponenten kennen oder deren Verhalten ausreichend kontrollieren können.
Wenn KI-Agenten zur neuen Angriffsfläche werden
Mit der zunehmenden Verbreitung agentischer KI verschiebt sich auch die Bedrohungslage in der Softwareentwicklung. Während klassische Anwendungssicherheit vor allem Schwachstellen im Programmcode untersucht, entstehen neue Risiken durch Anweisungen, Konfigurationsdateien und Erweiterungen, die das Verhalten von KI-Agenten beeinflussen.
Wie relevant diese Entwicklung bereits ist, zeigen Zahlen aus dem JFrog 2026 Software Supply Chain Security State of the Union Report . Für die Untersuchung identifizierte JFrog nach eigenen Angaben 969 bösartige Agent Skills mit besonders gefährlichen Payloads sowie 495 schädliche KI-Modelle auf der Plattform Hugging Face.
Das Besondere an dieser Bedrohung: Angreifer müssen nicht zwangsläufig ausführbaren Schadcode einschleusen. Stattdessen können sie versuchen, KI-Agenten durch manipulierte Anweisungen dazu zu bewegen, vertrauliche Informationen preiszugeben, unerwünschte Aktionen auszuführen oder Sicherheitsvorgaben zu umgehen.
Agent Skills, Plugins und Pakete für Agent Package Manager (APM) enthalten häufig natürlichsprachliche Anweisungen, die von KI-Agenten interpretiert und in konkrete Aktionen umgesetzt werden. Herkömmliche AppSec-Werkzeuge sind auf solche Angriffsmuster nur begrenzt ausgelegt. Damit wird die Sicherheitsprüfung von KI-Assets zu einer eigenständigen Disziplin innerhalb der Software Supply Chain Security.
Schatten-KI beginnt häufig auf dem Entwicklerrechner
Eine zentrale Herausforderung besteht darin, überhaupt festzustellen, welche KI-Komponenten in einer Organisation eingesetzt werden.
Entwickler integrieren zunehmend Coding-Agenten, Skills, Plugins, Model Context Protocol (MCP)-Server und automatisierte Hooks in ihre Arbeitsumgebungen. Die Installation erfolgt häufig direkt über Git-Repositories, Marktplätze, Slack oder heruntergeladene ZIP-Dateien. Viele dieser Komponenten gelangen damit nicht durch die üblichen Freigabe- und Prüfprozesse der IT-Sicherheit.
Besonders kritisch ist, dass solche Erweiterungen häufig mit den Berechtigungen des jeweiligen Entwicklers ausgeführt werden. Abhängig von ihrer Konfiguration können sie dadurch Zugriff auf Quellcode, lokale Dateien, Entwicklungswerkzeuge und gespeicherte Zugangsdaten erhalten. Fehlt eine zentrale Bestandsaufnahme, können Unternehmen weder zuverlässig bewerten, welche Risiken bestehen, noch nachvollziehen, welche Komponenten tatsächlich autorisiert wurden. Genau hier setzt die neue Local Shadow AI Detection von JFrog an.
Local Shadow AI Detection schafft Transparenz außerhalb der CI/CD-Pipeline
Die neue Funktion erweitert die Erkennung von Schatten-KI auf lokale Entwicklungsumgebungen. Dabei sollen auch solche Assets erfasst werden, die niemals in einer zentralen Registry oder einer automatisierten Build-Pipeline erscheinen.
JFrog verfolgt dafür einen mehrstufigen Ansatz.
Erkennung direkt bei der Installation: Über das JFrog Agent Plugin lassen sich KI-Assets auf Entwickler-Workstations identifizieren. Die Bereitstellung kann unter anderem über Mobile Device Management (MDM) oder über Konfigurationen der jeweiligen Agent-Umgebung erfolgen. Erkannt werden sollen insbesondere Skills, Plugins und MCP-Server – unabhängig davon, aus welcher Quelle sie stammen.
Lokale Sicherheitsprüfung: Ein deterministischer Scan analysiert die gefundenen Komponenten unmittelbar auf dem Endgerät. Nach Angaben von JFrog werden lediglich Metadaten und die daraus resultierende Risikobewertung an die zentrale Plattform übertragen.
Abgleich mit Sicherheitsrichtlinien: Die identifizierten Assets werden mit den in der JFrog-Plattform hinterlegten Informationen abgeglichen. Sicherheitsteams können so erkennen, welche Komponenten bereits geprüft oder freigegeben wurden und wo zusätzlicher Handlungsbedarf besteht.
Damit soll eine bislang schwer kontrollierbare Ebene der Softwareentwicklung in bestehende Governance- und Sicherheitsprozesse integriert werden. Für Unternehmen ist dieser Ansatz insbesondere deshalb relevant, weil die Absicherung zentraler Entwicklungsplattformen allein nicht mehr ausreicht. Werden KI-Erweiterungen lokal installiert und mit weitreichenden Berechtigungen betrieben, entsteht eine zusätzliche Angriffsfläche außerhalb traditioneller Sicherheitskontrollen.
AI Asset Scanning: Sicherheitsanalyse mit dem eigenen Sprachmodell
Neben der lokalen Erkennung erweitert JFrog die Analyse von KI-Assets um eine Bring-Your-Own-Key-Option. Das neue AI Asset Scanning mit BYOK ermöglicht es Unternehmen, Agent Skills, Coding-Agent-Plugins und APM-Pakete mithilfe ihrer eigenen LLM-Zugänge semantisch untersuchen zu lassen.
Anders als bei rein signaturbasierten Prüfverfahren geht es dabei nicht nur um bekannte Schadcode-Muster. Die Analyse soll auch potenziell gefährliche Anweisungen und Verhaltensweisen innerhalb von KI-Komponenten erkennen.
Der Einsatz kundeneigener LLM-Zugänge bringt dabei zwei wesentliche Vorteile.
Mehr Kontrolle über sensible Informationen: Prompts und zu analysierende Skills werden direkt von der JFrog-Plattform an den vom Kunden verwendeten Modell-Endpunkt übertragen. Ein zusätzliches, von JFrog gehostetes LLM-Gateway wird dafür nicht benötigt.
Integration bestehender KI-Infrastruktur: Unternehmen können ihre vorhandenen LLM-Verträge und Abrechnungsmodelle weiterverwenden. Insbesondere Organisationen mit eigenen Sicherheits- und Compliance-Vorgaben erhalten dadurch mehr Kontrolle über die technische Umsetzung der Analyse.
Für Kunden mit einer selbst gehosteten JFrog-Installation ist BYOK nach Unternehmensangaben die einzige Möglichkeit, AI Asset Scanning einzusetzen.
Allerdings bedeutet BYOK nicht automatisch, dass sämtliche Daten innerhalb der eigenen Infrastruktur verbleiben. Entscheidend ist, ob der verwendete Modell-Endpunkt intern betrieben wird oder bei einem externen LLM-Anbieter liegt. Unternehmen müssen deshalb weiterhin prüfen, welche Informationen übertragen werden und welche Datenschutz- und Sicherheitsbedingungen für den jeweiligen Modellzugang gelten.
Drei Sicherheitsebenen für die KI-gestützte Software-Lieferkette
JFrog verbindet die neuen Funktionen mit seiner bestehenden Sicherheitsarchitektur. Ziel ist es, KI-Komponenten über ihren gesamten Einsatz hinweg sichtbar und kontrollierbar zu machen.
Dabei greifen drei zentrale Funktionen ineinander:
- Local Shadow AI Detection erkennt und inventarisiert KI-Assets, die direkt in Entwicklungsumgebungen installiert werden.
- AI Asset Scanning untersucht KI-Modelle, Agent Skills, Plugins und APM-Pakete auf potenziell schädliche Inhalte und Anweisungen.
- JFrog Agent Guard soll Sicherheitsrichtlinien durchsetzen, wenn ein KI-Agent auf entsprechende Assets zugreift.
Zusammen sollen diese Komponenten eine zentrale Informations- und Kontrollinstanz für KI-Assets schaffen.
Für Security- und Plattform-Engineering-Teams eröffnet dies die Möglichkeit, bisher getrennte Bereiche der Softwareentwicklung stärker miteinander zu verbinden: die lokale Entwicklungsumgebung, die automatisierte Sicherheitsprüfung und die Durchsetzung definierter Richtlinien.
Entscheidend bleibt allerdings, wie zuverlässig die Erkennung unterschiedlicher KI-Komponenten funktioniert und in welchem Umfang sich gefährliche Anweisungen tatsächlich identifizieren lassen. Gerade bei natürlichsprachlichen Agent Skills sind semantische Analysen nicht mit einer vollständigen Sicherheitsgarantie gleichzusetzen.
Zero Trust muss künftig auch für KI-Agenten gelten
„Entwickler setzen bereits KI-Agenten ein, von denen ihr Unternehmen nichts weiß“, erklärt Shlomi Ben Haim, Mitgründer und CEO von JFrog. Aus seiner Sicht müssen Unternehmen ihre bisherige Sicherheitsstrategie deshalb erweitern. Nicht mehr allein die Frage, welche Aufgaben KI-Agenten übernehmen können, steht im Mittelpunkt. Ebenso wichtig wird die Nachvollziehbarkeit ihrer Zugriffe und Aktionen innerhalb der Software-Lieferkette. Das entspricht einem grundlegenden Prinzip moderner Zero-Trust-Architekturen: Vertrauen darf nicht allein aus der Identität eines Benutzers oder der Herkunft einer Anwendung abgeleitet werden.
Bei KI-Agenten gewinnt dieser Ansatz zusätzlich an Bedeutung. Denn ein Agent kann im Auftrag eines autorisierten Entwicklers handeln und dennoch unerwünschte Aktionen ausführen, beispielsweise wenn er manipulierte Anweisungen verarbeitet oder auf kompromittierte Erweiterungen zugreift.
Die Sicherheitsarchitektur muss deshalb nicht nur Benutzer und Anwendungen berücksichtigen, sondern auch die von ihnen eingesetzten KI-Komponenten sowie deren Berechtigungen und Interaktionen.
Verfügbarkeit und unterstützte Modelle
JFrog AI Security einschließlich Local Shadow AI Detection und AI Asset Scanning ist nach Unternehmensangaben ab sofort für Kunden von JFrog Unified Security und Ultimate Security verfügbar. Die ersten Versionen von AI Asset Scanning mit BYOK unterstützen laut Ankündigung Opus 4.8 von Anthropic, GPT 5.6 Sol von OpenAI sowie Gemini 3.1 Pro von Google.
Fazit: Die Software-Lieferkette endet nicht mehr beim Code
Mit den neuen Funktionen reagiert JFrog auf eine Entwicklung, die weit über klassische Schatten-IT hinausgeht. KI-Agenten und ihre Erweiterungen werden zunehmend zu eigenständigen Akteuren innerhalb der Softwareentwicklung. Damit entstehen zusätzliche Abhängigkeiten, Berechtigungsrisiken und potenzielle Einfallstore.
Für Unternehmen reicht es künftig nicht mehr aus, lediglich Quellcode, Build-Pipelines und Softwarepakete zu überprüfen. Sie müssen auch wissen, welche KI-Agenten und Erweiterungen in ihren Entwicklungsumgebungen aktiv sind, woher diese stammen und welche Aktionen sie ausführen dürfen.
Die Erweiterungen von JFrog AI Security zeigen, wohin sich die Absicherung moderner Software-Lieferketten entwickelt: von der Kontrolle einzelner Software-Artefakte hin zu einer kontinuierlichen Sicherheitsüberwachung des gesamten KI-gestützten Entwicklungsprozesses.
