In einer kontrollierten Studie, die vorgestellt wurde bei USENIX-Sicherheit 2025Forscher baten 16 große Sprachmodelle, 576,000 Codebeispiele zu generieren. Fast jedes fünfte der von diesen Modellen empfohlenen Open-Source-Pakete existierte nicht: 205,474 einzigartige, erfundene Paketnamen. Wäre dies zufällig, wäre es eine Kuriosität. Doch es ist nicht zufällig. 43 Prozent der erfundenen Namen tauchten bei wiederholten Eingabeaufforderungen immer wieder auf. Angreifer müssen nicht raten, was ein Programmierassistent erfinden wird. Sie können beobachten, abwarten und den Namen vorab registrieren.
Das ist das Kernproblem von KI-Lieferkettensicherheit In einem Experiment zeigte sich: Dieselbe KI, die die Softwareentwicklung beschleunigt, wurde zu einem vorhersehbaren und angreifbaren Einfallstor. Die Frage für Sicherheitsteams lautet nicht mehr, ob KI die Software-Lieferkette beeinflusst. Vielmehr geht es darum, ihre Aktivitäten auf beiden Seiten des Konflikts nachvollziehen zu können: die KI, die den Code schreibt, und die KI, die das System verteidigt. pipelineund die KI, auf die ein Angreifer zielt, auf beide.
Was ist KI-gestützte Lieferkettensicherheit?
KI-gestützte Lieferkettensicherheit bezeichnet den Schutz der Software-Lieferkette vor Risiken, die durch künstliche Intelligenz (KI) entstehen oder verstärkt werden, und die Nutzung von KI zur Verteidigung ebendieser Lieferkette. Sie liegt an der Schnittstelle zweier Trends, die die meisten Sicherheitsprogramme noch getrennt behandeln: KI-generierter Code, der in die Codebasis gelangt, und KI-gestützte Angriffe auf Abhängigkeiten und Builds. pipelines und die dazugehörigen Entwicklerwerkzeuge.
Die traditionelle Anwendungssicherheit fragt, ob eine bekannte Schwachstelle in einer bekannten Komponente vorhanden ist. Die Sicherheit der KI-Lieferkette stellt komplexere und schnellere Fragen: Existiert die Abhängigkeit, die ein KI-Agent gerade installiert hat, tatsächlich oder wurde sie nur simuliert? Verhält sich dieses neu veröffentlichte Paket bösartig, obwohl noch keine Signatur dafür existiert? Welche KI-Modelle, -Agenten und -Verbindungen werden im Softwareentwicklungszyklus eingesetzt und welche Ressourcen können sie erreichen?
Die Beantwortung dieser Fragen in der Geschwindigkeit, mit der der Code tatsächlich ausgeliefert wird, ist die ganze Disziplin.
Wie KI zu einer Angriffsfläche für Lieferketten wurde
Angreifer haben vor einiger Zeit aufgehört, mit KI zu experimentieren. Sie integrieren sie nun in Operationen, die direkt auf Code und seine Abhängigkeiten abzielen, nicht nur auf Postfächer und login Seiten.
Slopsquatting: Die Bewaffnung mit KI-Erfindungen
Die Technik hat nun einen Namen: SlopsquattingDer Begriff wurde im April 2025 von Seth Larson, Sicherheitsentwickler bei der Python Software Foundation, geprägt. Die Funktionsweise ist simpel und brutal: KI-Programmierassistenten schlagen regelmäßig nicht existierende Paketnamen vor. Da sich diese Fehlalarme wiederholen, kann ein Angreifer den erfundenen Namen als echtes, schädliches Paket registrieren und darauf warten, dass der nächste Entwickler (oder der nächste autonome Agent) es installiert.
Der Präzedenzfall ist bereits dokumentiert. Im Jahr 2023 veröffentlichte ein Sicherheitsforscher einen entsprechenden Bericht. Bar Lanyado veröffentlichte ein leeres Platzhalterpaket unter einem Namen, der häufig von Modellen halluziniert wird. Huggingface-cliInnerhalb von drei Monaten wurde es über 30,000 Mal heruntergeladen, und der manipulierte Installationsbefehl tauchte sogar in der README-Datei eines öffentlichen Repositorys eines großen Technologieunternehmens auf. Das war ein harmloser Test. Dasselbe Vorgehen mit einer echten Schadsoftware ist nun ein wiederholbares Geschäftsmodell für Angreifer.
Autonome Codierungsagenten verschärfen das Problem, indem sie die letzte menschliche Kontrollinstanz entfernen. Ein Agent, der Abhängigkeiten ohne Überprüfung installiert, eliminiert den einen Moment, in dem ein Entwickler hätte bemerken können, dass das Paket fehlerhaft aussieht.
Schadsoftwarepakete im industriellen Maßstab
Slopsquatting ist eine Taktik innerhalb eines viel größeren Wandels. Im Jahr 2025 groß angelegte Kampagnen mit schädlichen Paketen wurde zum grundlegenden Betriebsmodell für Angriffe auf Lieferketten, wie Xygenis Neue AppSec-Angriffstrends für 2026 Angreifer haben die Spam-Ökonomie übernommen: Sie veröffentlichen tausende Schadsoftwarepakete, akzeptieren schnelle Löschungen und setzen auf Wahrscheinlichkeit statt auf Persistenz. Öffentliche Register enthalten mittlerweile Hunderttausende neuer Schadsoftwarepakete pro Jahr, und selbst ein kurzes Zeitfenster reicht aus, um nachfolgende Builds zu infizieren.
MCP: eine neue, weitgehend ungesicherte Verbindungsschicht
Das Model Context Protocol (MCP) ermöglicht KI-Agenten die Verbindung zu Tools und Datenquellen. Es schafft zudem eine neue Angriffsfläche, die die meisten Scanner nie untersuchen. Ein bösartiger MCP-Server kann unbemerkt neben legitimen Servern betrieben werden und ist für jeden Agenten mit Zugriffsrechten erreichbar. OWASP veröffentlichte 2025 eine MCP Top 10. um diese Risiken zu erfassen, von der schnellen Einschleusung und Werkzeugvergiftung bis hin zu nicht authentifizierten Servern, die jeder Agent im Netzwerk erreichen kann.
Geheimnisse sickern durch KI-generierten Code durch
Laut Check Point External Risk Management (ehemals …) stieg die Zahl kompromittierter Zugangsdaten im Jahr 2025 im Vergleich zu 2024 um etwa 160 %. Cyberint), was teilweise auf KI-gestütztes Phishing und Infostealer-Malware zurückzuführen ist. In Softwareumgebungen entspricht dies direkt fest codierten Schlüsseln und Token im KI-generierten Code. Ein Codierungsassistent, der einen solchen Code verarbeitet hat, .env Eine Datei in ihrem Kontext kann ein Geheimnis in einem Vorschlag reproduzieren, und Angreifer suchen genau nach diesem Muster.
Auch die menschliche Dimension ist nicht verschwunden. Laut dem IBM-Bericht „Cost of a Data Breach Report 2025“ nutzten 37 % der Datenschutzverletzungen KI-generiertes Phishing und 35 % Deepfake-Imitationen – Techniken, die zunehmend auf Entwickler abzielen, etwa durch gefälschte Ansprache von Personalvermittlern und nachgeahmte Entwicklerkonten.
Wie KI die Lieferkette schützt
Die Fähigkeiten, die KI gefährlich machen, sind genau das, was sie für Verteidiger nützlich macht. In der Lieferkette wird dieser Zielkonflikt an vier Stellen besonders deutlich.
Malware-Erkennung vor der Signatur
Dies ist die entscheidende Fähigkeit. Traditionelle Scanverfahren warten auf eine bekannte schädliche Signatur, bevor sie ein Paket markieren können. Dies ist strukturell zu langsam für Angriffe, die innerhalb weniger Stunden nach Veröffentlichung Tausende von Downloads generieren. Verhaltensbasierte Erkennung hingegen bewertet ein neu veröffentlichtes Paket sofort nach dessen Erscheinen: seine Aktionen während der Installation, Netzwerkaufrufe, Verschleierungsmuster und Metadatenanomalien. Dadurch wird das Zeitfenster geschlossen, auf das Slopsquatting- und Typosquatting-Kampagnen angewiesen sind. Die Shai-Hulud- und GlassWorm-npm-Kampagnen Ende 2025, die von signaturbasierten Detektoren vollständig übersehen wurden, sind Beispiele dafür.cisIm Grunde genommen ist die Verhaltensanalyse darauf ausgelegt, Fälle aufzudecken.
Priorisierung nach Ausnutzbarkeit, nicht nach Volumen
Der praktischste Beitrag von KI zur modernen Anwendungssicherheit besteht nicht darin, mehr Probleme zu finden, sondern darin, die bereits gefundenen Schwachstellen herauszufiltern. Die Erreichbarkeitsanalyse ermittelt, ob ein anfälliger Codepfad tatsächlich ausgeführt wird. Die Bewertung der Ausnutzbarkeit vergleicht reale Angriffsdaten mit einem CVSS-Wert. Zusammen ermöglichen sie es Teams, sich auf die wenigen Ergebnisse zu konzentrieren, die ein echtes, ausnutzbares Risiko darstellen, anstatt Tausende von Warnmeldungen mit geringer Aussagekraft manuell zu sichten.
Anomalieerkennung bei der pipeline Grad des
In Darktraces Umfrage zum Stand der KI-Cybersicherheit 2026Sicherheitsverantwortliche nannten die Bedrohungserkennung und Anomalieerkennung (72 %) als den Bereich, in dem KI die größte Wirkung erzielt, noch vor der automatisierten Reaktion (48 %) und dem Schwachstellenmanagement (47 %). Angewendet auf CI/CDDies bedeutet, ein Installationsskript zu kennzeichnen, das sich anders verhält als alles, was man bisher in diesem Zusammenhang gesehen hat. pipelineoder eine Abhängigkeitsaktualisierung, die einen unerwarteten Netzwerkaufruf auslöst.
Automatisierte, überprüfbare Sanierungsmaßnahmen
Neben der Identifizierung und Bewertung von Risiken generiert die KI nun auch die Lösung: eine sichere, frameworkspezifische Codeänderung, die als … eingereicht wird. pull request anstatt eines Tickets, das in einem Bearbeitungsstau verrottet. IBM Eine Studie ergab, dass Unternehmen, die KI und Automatisierung umfassend in ihren Sicherheitsabläufen einsetzen, den gesamten Lebenszyklus einer Sicherheitsverletzung auf 204 Tage verkürzen konnten, im Vergleich zu 284 Tagen bei Unternehmen, die dies nicht taten (eine Verbesserung um etwa 80 Tage). Gleichzeitig sparten sie durchschnittlich 1.9 Millionen US-Dollar pro Sicherheitsvorfall. Die Erkennung eines Risikos ohne dessen Behebung führt lediglich zu einer Verlagerung des Problems; die Kombination von KI-gestützter Priorisierung und KI-generierten Lösungen schließt den Kreislauf.
Die Governance-Lücke, die die meisten Teams noch nicht geschlossen haben
Und hier kommt der unangenehme Teil: Laut einer Darktrace-Umfrage aus dem Jahr 2026 setzen zwar 77 % der Unternehmen generative KI in ihrer Sicherheitsinfrastruktur ein, aber nur 37 % verfügen über eine formale Richtlinie für den sicheren Einsatz von KI. Dieser Wert ist im Vergleich zum Vorjahr sogar von 45 % gesunken. Die Einführung von KI schreitet schneller voran als die Entwicklung von Richtlinien, und Angreifer nutzen diese Lücke aus.
Für Softwareteams zeigt sich dies konkret: KI-Codierungsassistenten, Agenten und MCP-Verbindungen sind bereits im Einsatz. SDLCOftmals fehlt dabei ein zentraler Überblick darüber, worauf sie zugreifen oder was sie eingeführt haben. Die meisten Organisationen kennen ihre Cloud-Anbieter. Nur wenige können jedoch jedes KI-Modell, jeden Agenten und jeden MCP-Server benennen, der von einem Entwicklerrechner aus erreichbar ist. Dieses Inventar, die KI-Stückliste (KI-BOM), bildet die Grundlage für die gesamte Sicherheit der KI-Lieferkette. Was nicht inventarisiert ist, lässt sich nicht schützen.
Was AppSec-Teams jetzt tun sollten
Das durchschnittliche Datenschutzverletzung Die Kosten belaufen sich laut IBM im Jahr 2025 auf 4.44 Millionen US-Dollar, und die Lieferkette wird zunehmend zu einem der wichtigsten Einstiegspunkte. Die praktische Antwort lautet nicht abstrakt „KI einführen“. Es ist eine kurze, konkrete Liste:
- Erstellen Sie eine Bestandsaufnahme der KI-Systeme, die in Ihrem System ausgeführt werden. SDLC. Modelle, Agenten, MCP-Server und KI-Programmierwerkzeuge sind Ressourcen. Erstellen Sie zuerst die KI-Stückliste.
- Behandeln Sie KI-generierten Code wie von Menschen geschriebenen Code. Kompilierbarer Code ist nicht automatisch sicher, und seine Abhängigkeiten verdienen die gleiche Überprüfung wie alles andere.
- Malware anhand ihres Verhaltens und nicht anhand ihrer Signaturen erkennen. Die signaturbasierte Scanmethode ist strukturell zu langsam für Kampagnen mit hohem Volumen und kurzer Laufzeit.
- Priorisierung nach Ausnutzbarkeit, nicht nach Alarmvolumen. Der defensive Wert von KI besteht darin, reale Risiken von Störfaktoren zu trennen, nicht darin, mehr davon zu erzeugen.
- Automatisierte Fehlerbehebung, nicht nur die Erkennung. Erkennung ohne Behebung des Problems verlagert den Bearbeitungsstau lediglich an einen anderen Ort.
Wohin sich die KI-gestützte Lieferkettensicherheit entwickelt
Zwei Muster werden die nächsten Jahre prägen. Erstens werden Angriffe in großem Umfang vorhersehbarer als zufällig: Slopsquatting funktioniert vorcisDer Hauptgrund dafür ist, dass KI-Halluzinationen konsistent sind, was bedeutet, dass die Verteidigung von einmaligen Signaturen zu einer skalierbaren Mustererkennung übergehen muss. Zweitens wandelt sich die Verteidigung von der reinen Alarmierung eines Mitarbeiters hin zur Identifizierung, Bewertung und Reaktion, bevor ein Ticket erstellt wird. Die Organisationen, die sich einen Wettbewerbsvorteil verschaffen, sind diejenigen, die das Verhalten eines Schadprogramms bereits bei der Veröffentlichung erkennen und nicht auf die Erstellung einer CVE-Meldung warten.
KI ist Ihr neuestes Risiko und Ihre beste Verteidigung, oft im selben System.
KI wirkt in zwei Richtungen gleichzeitig. Sie liefert Angreifern skalierbare, automatisierte Werkzeuge und ermöglicht Verteidigern, Bedrohungen in einem Umfang zu erkennen und zu reagieren, wie es manuelle Überprüfungen niemals leisten könnten. Genau diese Dualität ist der Grund, warum KI-gestützte Lieferkettensicherheit nicht nachträglich integriert oder gänzlich verboten werden kann.
Das ist die Lücke Xygeni wurde so gebaut, dass es schließt. Malware-Frühwarnung (MEW) Überwacht kontinuierlich öffentliche und private Register und erkennt schädliche Pakete in dem Moment, in dem sie veröffentlicht werden, noch bevor eine Signatur existiert, mithilfe von KI-Urteilen, die von einem menschlichen Forschungsteam validiert werden. Xygeni Shield Diese Intelligenz wird direkt beim Entwickler eingesetzt: Schadsoftware wird bereits bei der Installation blockiert, bevor ihre Skripte ausgeführt werden können. Außerdem werden die KI-Tools, Agenten und MCP-Server auf jedem Rechner inventarisiert. Zusammen sind sie speziell für die in diesem Artikel beschriebenen Bedrohungen entwickelt worden: Slopsquatting, Typosquatting, Abhängigkeitskonflikte und Kompromittierung von Maintainern. Shai Hulud und GlassWorm-Angriffsklassen, die signaturbasierte Tools nicht erkannten. In Kombination mit einer auf Erreichbarkeit basierenden Priorisierung, einer KI-BOM über Ihr gesamtes Netzwerk hinweg SDLCund automatisierte Pull-Request-Behebung, KI-generierter Code und KI-gestützte Angriffe dieselbe genaue Prüfung erhalten, ohne die Entwickler auszubremsen.
Kostenlos starten. Der Entwicklerplan von Xygeni kostet 0 €: 10 Repositories, 200 Scans pro Monat, bis zu 5 Mitwirkende, keine Kreditkarte erforderlich. Sign up with GitHubNutzen Sie GitLab oder Google und führen Sie Ihren ersten Scan in weniger als 10 Minuten durch; Shield Endpoint Protection wird demnächst im Developer-Plan verfügbar sein.
FAQ
Was ist KI-gestützte Lieferkettensicherheit?
Die KI-gestützte Lieferkettensicherheit schützt die Software-Lieferkette vor Risiken, die KI mit sich bringt oder verstärkt, wie etwa irreführende Abhängigkeiten, KI-generierter Code mit Schwachstellen und bösartige MCP-Verbindungen, und nutzt KI gleichzeitig zur Verteidigung durch verhaltensbasierte Malware-Erkennung, Priorisierung der Ausnutzbarkeit und automatisierte Behebung.
Wie wird KI zum Schutz der Software-Lieferkette eingesetzt?
KI ermöglicht Abwehrmechanismen, die signaturbasierte Tools nicht bieten können: Bewertung des Verhaltens eines neu veröffentlichten Pakets zum Zeitpunkt seines Erscheinens, Feststellung, ob ein anfälliger Codepfad tatsächlich erreichbar ist, Kennzeichnung von Anomalien pipeline Aktivität und Generierung von Framework-spezifischen Korrekturen als pull requests anstatt der unbearbeiteten Tickets.
Warum können herkömmliche Scanner KI-gesteuerte Lieferkettenangriffe nicht erkennen?
Herkömmliche Tools basieren auf bekannten Signaturen und veröffentlichten CVEs und kennzeichnen ein Paket daher erst, nachdem es bereits als schädlich identifiziert wurde. Kampagnen mit hohem Downloadvolumen und kurzer Laufzeit erzielen innerhalb weniger Stunden nach Veröffentlichung hohe Downloadzahlen (lange bevor eine Signatur existiert). Aus diesem Grund ist eine verhaltensbasierte Erkennung vor der Signaturerstellung erforderlich.
Was ist eine KI-BOM und warum ist sie wichtig?
Eine KI-Stückliste (AI-BOM) ist ein Verzeichnis aller KI-Modelle, Agenten und MCP-Verbindungen, die im gesamten Softwareentwicklungszyklus zum Einsatz kommen. Sie ist wichtig, da man nur das schützen kann, was man erfasst hat, und die meisten Unternehmen keinen zentralen Überblick darüber haben, welche KI-Systeme von den Rechnern ihrer Entwickler aus erreichbar sind.
