An KI-Inventar ist ein ständig aktualisierter Katalog aller KI-Ressourcen, die in Ihrem Unternehmen im Einsatz sind — Modelle, KI-gestützte Endpunkte, Datensätze, KI-Codierungsassistenten, MCP-Server und KI-Abhängigkeiten — zusammen mit den Beziehungen, Risiken und Eigentümern, die sie verbinden. Im Sicherheitskontext hat dies nichts mit Lager- oder Bestandsverwaltung zu tun; hier "KI-Inventar" Es bedeutet einfach, genau zu wissen, welche KI man einsetzt, wo sie sich befindet und was sie erreichen kann.
Da sich KI in allen Phasen der Softwareentwicklung ausbreitet, von der Codegenerierung in der IDE bis hin zu autonomen Agenten, die innerhalb der Software agieren CI/CD pipelineDie Frage ist also nicht mehr, ob KI in Ihrer Umgebung vorhanden ist. Es geht darum, ob man es sehen kann. Dieser Leitfaden erklärt, was ein KI-Inventar ist und wie es sich auf ein ... bezieht. KI-BOM und ein SBOMwarum Schatten-KI ist zu einem Sicherheitsproblem geworden, und wie sich die Praxis auf die EU-KI-Gesetz, NIST AI RMF und ISO / IEC 42001.
Die zentralen Thesen
- Ein KI-Inventar erfasst jedes Modell, jeden Datensatz, jeden Agenten, jeden MCP-Server und jedes KI-Codierungstool über den gesamten Softwarelebenszyklus hinweg, nicht nur die von der IT genehmigten.
- Schatten-KIDie unkontrollierte Einführung von KI ist mittlerweile die Norm, nicht mehr die Ausnahme: In einer Umfrage unter Sicherheitsverantwortlichen aus dem Jahr 2026 gaben nur wenige an, KI ohne entsprechende Steuerung eingesetzt zu haben. 19 % der Organisationen gaben an, vollständige Transparenz darüber zu haben, wo und wie KI eingesetzt wird..
- An AI-BOM (KI-Stückliste) ist das revisionssichere Ergebnis einer KI-Inventur: der Nachfolger des KI-Zeitalters SBOM.
- Die Regulierung rückt näher. Das EU-KI-Gesetz, das NIST-KI-RMF und ISO/IEC 42001 verpflichten Sie alle dazu, zu wissen, welche KI Sie einsetzen.
- Eine Bestandsaufnahme ist nur der Ausgangspunkt; der Wert ergibt sich aus der Risikobewertung und dem Handeln mit den wenigen Vermögenswerten, die wirklich wichtig sind.
Was ist ein KI-Inventar?
Ein KI-Inventar ist die Praxis, alle KI-Ressourcen, die im gesamten Softwareentwicklungszyklus zum Einsatz kommen, zu erfassen, zu katalogisieren und kontinuierlich zu überwachen, sowie die damit verbundenen Risiken. Ein vollständiges Inventar beantwortet für jede Ressource drei Fragen: Was ist es, wo läuft es und worauf kann es zugreifen?
Dieser Umfang ist größer als die meisten Teams erwarten. Ein aussagekräftiges KI-Inventar sollte Folgendes umfassen:
- Models: jedes große Sprachmodell und jedes Basismodell, das in der Entwicklung und Produktion verwendet wird, mit Versions-, Standort- und Erkennungssicherheit.
- Datensätze: Trainingsdaten, Abrufdatensätze und Vektorspeicher, einschließlich der Gefährdung durch vergifteten Kontext und Datenlecks.
- Makler: autonome Systeme, die in Ihrer Umgebung Aktionen ausführen, wie z. B. das Öffnen pull requests, das Installieren von Abhängigkeiten oder das Anfassen der Infrastruktur.
- MCP-Server: Modellkontextprotokoll Server, die KI-Assistenten mit externen Tools, APIs und Datenquellen verbinden.
- KI-Codierungswerkzeuge und -assistenten: Copiloten und IDE-Integrationen, die Code generierenAbhängigkeiten vorschlagen und mit Repositories interagieren.
- KI-Frameworks: LangChain, LangGraph, Agentenserver und andere Orchestrierungsschichten, die Modelle mit Tools und Daten verbinden.
- Beziehungen zwischen VermögenswertenDie Verbindungen zwischen Modellen, Agenten, Servern, Datensätzen und den damit verbundenen Geheimnissen werden in einem Beziehungsdiagramm visualisiert. Dieses Diagramm stellt Risiken im Kontext dar und nicht als statische Liste.
KI-Inventar vs. KI-Anlageninventar vs. KI-Stückliste und wie sie sich von einem unterscheiden SBOM
Diese Begriffe werden recht ungenau verwendet, daher ist es hilfreich, sich vorher zu informieren.cise. „KI-Inventar“ und „KI-Anlageninventar“ beschreiben dasselbe.Der lebendige Katalog von KI-Assets und ihren Risiken. AI-BOM ist das exportierbare Artefakt, das die Inventarisierung erzeugt.: eine maschinenlesbare Stückliste, die Sie einem Prüfer oder einem enterprise Käufer.
Am einfachsten lässt sich die KI-BOM anhand einer Analogie zur folgenden verstehen: SBOM:
Da KI in allen Bereichen immer stärker integriert wird SDLCDie KI-BOM wird zunehmend zu einem ebenso grundlegenden Bestandteil wie die SBOMund Sicherheitsverantwortliche erhalten zunehmend Anfragen von Prüfern und enterprise Beschaffungsteams für genau dieses Artefakt.
Warum KI-Inventar jetzt wichtig ist
Drei Faktoren haben dazu geführt, dass die KI-Inventur von einem netten Extra zu einer Priorität geworden ist.
- Erstens schreibt KI in großem Umfang unsicheren Code. Unabhängige Studien zeigen übereinstimmend, dass ein Großteil des von KI generierten Codes Sicherheitslücken aufweist. Die ursprüngliche NYU/Copilot-Studie von Pearce et al. ergab etwa 40 % der generierten Programme wiesen Sicherheitslücken auf.Auch neuere groß angelegte Tests deuten in dieselbe Richtung: Veracodes Analyse von über 100 Modellen für das Jahr 2025 ergab lediglich 55 % des KI-generierten Codes waren sicherWenn Sie nicht wissen, welche Assistenten Code in Ihrem System generieren pipelineDaher können Sie dieses Risiko nicht kontrollieren.
- Zweitens ist die Software-Lieferkette zu einer Angriffsfläche für KI geworden. Im September 2025, Shai HuludDer erste sich selbst verbreitende npm-Wurm nutzte Entwicklerrechner als Verbreitungsmechanismus und verbreitete sich über Hunderte von Paketen. Im März 2026 kompromittierten Angreifer die Systeme. Axios, ein Paket mit ungefähr 100 Millionen Downloads pro WocheSie veröffentlichten manipulierte Versionen, die einen Remote-Access-Trojaner einschleusen. Solche Angriffe treffen genau die Schnittstelle zwischen traditioneller Anwendungssicherheit und Endpoint-Sicherheitstools: die Ebene, die ein KI-gestütztes Inventar beleuchten soll.
- Drittens werden Geheimnisse und Zugangsdaten durch KI weitergegeben. Der GitGuardian-Bericht „State of Secrets Sprawl 2026“ berichtete, dass Die Zahl der Leaks von Geheimnissen im Bereich KI-Dienste stieg im Jahresvergleich um 81 %.und dass KI-gestützte commits leak secretDie Zugriffsrate liegt etwa doppelt so hoch wie die Basisrate. Jedes undokumentierte Modell, jeder Agent oder MCP-Server stellt einen potenziellen Weg zu Anmeldeinformationen dar.
Traditionelle Anwendungssicherheit beschränkt sich auf das Repository und versteht kein Modell. Endpoint-Tools überwachen zwar das Betriebssystem, verstehen aber weder Pakete noch MCP-Server oder KI-Assistenten. Genau in dieser Lücke häufen sich KI-Risiken, und eine Bestandsaufnahme ist der erste Schritt, um diese zu schließen.
Wo sich KI versteckt: Schatten-KI im gesamten SDLC
Schatten-KI Als KI-System gilt jedes System, das ohne formelle Genehmigung oder Kontrolle eingesetzt wird: der Copilot, den ein Entwickler letzte Woche aktiviert hat, der MCP-Server, der auf einem Laptop läuft, das Modell, das direkt von einem öffentlichen Hub in ein Nebenprojekt übernommen wurde. Das ist kein Einzelfall. In einer Umfrage unter mehr als 400 Sicherheitsverantwortlichen aus dem Jahr 2026 gaben nur wenige an, dass dies der Fall sei. 19 % gaben an, vollständige Transparenz darüber zu haben, wo und wie KI eingesetzt wird. in ihrer gesamten Organisation, während die überwiegende Mehrheit bereits KI-Codierungsassistenten einsetzte oder testete.
Am schwierigsten zu finden ist die im Softwarelebenszyklus integrierte KI, da sie in einer Cloud-Konsole nur selten sichtbar ist:
- Modelle und KI-Bibliotheken werden als Abhängigkeiten in die Repositories eingebunden.
- KI-Codierungsassistenten, individuell pro Entwickler und pro IDE konfiguriert.
- MCP-Server und Regeldateien, die lokal auf Entwicklerendpunkten ausgeführt werden.
- Agentische Workflows öffnen sich stillschweigend pull requests oder die Installation von Paketen.
Deshalb reicht eine reine Cloud-basierte Erkennung nicht aus. Eine wirklich vollständige KI-Inventarisierung muss auch Code- und Build-Umgebungen (den Laptop des Entwicklers, das Repository, die …) einbeziehen. pipeline), nicht nur die Produktionscloud.
Was gehört in eine KI-Stückliste?
Eine revisionssichere KI-basierte Stückliste macht Ihren Lagerbestand nachweisbar. Sie sollte mindestens Folgendes enthalten:
- Alle KI-Ressourcen: Modelle, Datensätze, Agenten, MCP-Server, KI-Codierungswerkzeuge.
- Anlagentyp, Standort und Erkennungssicherheit für jede Anlage.
- Herkunft und Abhängigkeiten (woher das Modell oder die Komponente stammt).
- Ein Risikoniveau pro Asset, basierend auf KI-spezifischen Angriffsvektoren.
- Regulatorische Zuordnung zum EU-KI-Gesetz, NIST AI RMF und ISO/IEC 42001.
- Ein exportierbares, maschinenlesbares Format für Prüfer und Kunden.
Organisationen, die eine KI-basierte Stückliste auf Abruf generieren können, werden mit zunehmender Reife der KI-Auditverpflichtungen einen echten Compliance- und Vertrauensvorteil haben.
KI-Inventar und -Konformität: EU-KI-Gesetz, NIST AI RMF und ISO/IEC 42001
Keines der gängigen Rahmenwerke führt „KI-Inventar“ als eigenständigen Punkt auf, doch ohne dieses ist die Erfüllung aller Anforderungen praktisch unmöglich. Man kann KI-Systeme, die man nicht einsehen kann, weder dokumentieren, klassifizieren noch steuern.
Hinweis zum Zeitplan: Die Umsetzung des EU-KI-Gesetzes wurde durch das „Digital Omnibus“-Abkommen vom Mai 2026 überarbeitet. Dieses verschob die meisten risikoreichen Verpflichtungen auf Dezember 2027, während einige Meilensteine vom 2. August 2026 weiterhin gelten (Transparenzpflichten, Sanktionsbefugnisse gemäß GPAI). Die genauen Termine sind daher vorläufig und sollten anhand primärer EU-Quellen überprüft werden. Die Richtung ist jedoch klar, und eine Bestandsaufnahme ist die Voraussetzung für alle Maßnahmen.
Wie man ein KI-Inventar erstellt und pflegt
Beim Aufbau eines Inventars geht es weniger um eine einmalige Prüfung als vielmehr um die Etablierung eines kontinuierlichen Prozesses, da sich KI-Assets ständig ändern: neue Modelle werden eingeführt, neue Agenten eingesetzt, neue MCP-Server konfiguriert, oft ohne Genehmigung.
Ein praktischer Ansatz:
- Automatische Erkennung in Code, Build und Cloud. Manuelle Tabellenkalkulationen veralten innerhalb weniger Tage. Die Analyse muss kontinuierlich laufen und in die entsprechenden Bereiche vordringen. SDLC, nicht nur die Laufzeit.
- Beziehungen klassifizieren und abbilden. Art des Datensatzes, Standort, Herkunft und, ganz entscheidend, wie jeder Datensatz mit anderen Datensätzen und mit Geheimnissen verknüpft ist.
- Risiko im Kontext bewerten. Eine unstrukturierte Liste mit Hunderten von Ergebnissen hilft niemandem; priorisieren Sie nach dem, was tatsächlich erreichbar, nutzbar und geschäftskritisch ist.
- Eigentumsrechte zuweisen. Jedes Gut braucht einen verantwortlichen Eigentümer.
- Halten Sie es live und exportierbar. Es sollte als kontinuierliches Inventar geführt werden, das bei Bedarf eine KI-Stückliste erstellen kann.
Worauf Sie bei KI-Inventarsoftware achten sollten
Wenn Sie Tools evaluieren, sind es diese Funktionen, die echte KI-Inventarisierungssoftware von einer statischen Liste unterscheiden:
- Versteht KI-spezifische Asset-Typen (Modelle, Agenten, MCP-Server, Datensätze), nicht nur Pakete und Bibliotheken.
- Reicht in die SDLC, die Entdeckung von KI im Code und auf Entwicklerendpunkten, nicht nur in der Cloud.
- Beziehungen in KartenEs geht nicht nur um einzelne Vermögenswerte, sondern um das Risiko, das im Kontext sichtbar wird.
- Bewertet das Risiko hinsichtlich KI-spezifischer Angriffsvektoren (unverzügliche Injektion, unsichere MCP, übermäßige Handlungsfähigkeit), nicht nur die Schwere des CVE.
- Läuft durchgehend, um neue KI-Systeme zu erfassen, sobald sie auftauchen.
- Erzeugt eine revisionssichere KI-Stückliste das sowohl die Wirtschaftsprüfer als auch die enterprise Beschaffung.
- Verbindet Inventar mit Durchsetzungdamit Sie auf das, was Sie finden, reagieren können.
Vom Inventar zur Aktion: Sichern Sie, was Sie finden
Die erste Maßnahme ist die Ermittlung des tatsächlichen Risikos; die zweite besteht darin, zu verstehen, welche Assets ein reales Risiko bergen, da die meisten dies nicht tun. Ziel ist es, von Tausenden von Rohdaten zu den wenigen Assets zu gelangen, die tatsächlich Systeme, Daten oder Betriebsabläufe gefährden können: solche, die aktiv genutzt werden, nicht vertrauenswürdige Eingaben akzeptieren, realistisch angreifbar sind, sensible Zugriffsrechte besitzen und Produktions- oder regulierte Assets betreffen.
Hier kommt das KI-Sicherheitsstatusmanagement ins Spiel (AI-SPM) umfasst die Bestandsaufnahme, die Risikobewertung entlang des KI-Angriffspfads, die Zuordnung zu regulatorischen Vorgaben und die Erstellung der KI-Stückliste. Hier trifft auch die Bestandsaufnahme auf die Durchsetzung von Vorschriften: Schädliche Abhängigkeiten werden blockiert, bevor sie installiert werden, nicht genehmigte MCP-Server und -Modelle werden abgewiesen und kompromittierte Endpunkte eingedämmt, bevor sich ein Vorfall ausbreitet.
At XygeniDies ist das Modell, auf das wir hinarbeiten: kontinuierliche KI-Inventarisierung und KI-BOM durch KI-SPM, Malware-Erkennung, die schädliche Pakete abfängt, bevor eine Signatur existiert (MEW, Malware-Frühwarnung) und die Durchsetzung von Richtlinien am Entwicklerendpunkt über Xygeni Shield. Die Erkennung orientiert sich an den OWASP Top 10 für LLM-Anwendungen, den OWASP Top 10 für Agentic Apps und den OWASP MCP Top 10. Doch unabhängig vom gewählten Ansatz bleibt das Prinzip bestehen: Was man nicht sieht, kann man nicht sichern, und eine KI-gestützte Bestandsaufnahme ist der Ausgangspunkt für Transparenz.
Häufig gestellte Fragen
Worin unterscheidet sich eine KI-BOM von einer anderen BOM? SBOM?
An SBOM Erfasst Open-Source- und Drittanbieter-Softwareabhängigkeiten, bewertet nach CVE-Schweregrad. Eine KI-Stückliste katalogisiert KI-spezifische Assets (Modelle, Agenten, MCP-Server, Datensätze) mit KI-spezifischer Risikobewertung und regulatorischer Zuordnung. Mit der zunehmenden Verbreitung von KI in den verschiedenen Bereichen… SDLCDie KI-BOM wird zunehmend zu einem ebenso grundlegenden Bestandteil wie die SBOM.
Was ist Schatten-KI und wie kann ich sie aufdecken?
Schatten-KI ist jede KI, die ohne formelle Genehmigung oder Kontrolle eingesetzt wird: ein aktivierter Copilot, ein lokaler MCP-Server, ein Modell aus einem öffentlichen Hub. Sie wird durch kontinuierliche, automatisierte Bestandsaufnahme entdeckt, die bis in den Code und die Architektur reicht. pipelineund Entwickler-Endpunkte, nicht nur die Produktionscloud, wo die meisten Schatten-KI nie auftaucht.
Ist nach dem EU-KI-Gesetz ein KI-Inventar erforderlich?
Das EU-KI-Gesetz erwähnt den Begriff „KI-Inventar“ nicht explizit, doch die darin enthaltenen Dokumentations-, Klassifizierungs- und Registrierungspflichten für Hochrisikosysteme lassen sich ohne ein solches Inventar nicht erfüllen. Gleiches gilt für das NIST AI RMF (Map-Funktion, Govern 1.6) und ISO/IEC 42001, die die Führung eines Inventars von KI-Systemen vorschreiben.
Was ist AI-SPM?
AI Security Posture Management (AI-SPM) ist die Praxis, KI-Assets kontinuierlich zu identifizieren, ihr Risiko entlang des KI-Angriffspfads zu bewerten, sie regulatorischen Vorgaben zuzuordnen und eine KI-Stückliste (AI-BOM) zu erstellen. Es erweitert das aus CSPM und DSPM bekannte Verständnis von Sicherheitslagemanagement auf KI-spezifische Assets und Angriffsvektoren.
Wie oft sollte ein KI-Inventar aktualisiert werden?
Kontinuierlich. KI-Ressourcen verändern sich täglich, da Teams neue Modelle einführen, neue Agenten bereitstellen und neue MCP-Server konfigurieren – meist ohne formelle Genehmigung. Eine Momentaufnahme ist innerhalb weniger Tage veraltet, daher ist eine effektive KI-Inventarisierungssoftware ein fortlaufender Prozess und keine einmalige Prüfung.
Wie kann ich die im Quellcode verwendete KI inventarisieren?
Die Inventarisierung von KI im Code bedeutet, KI-Modelle und -Bibliotheken, die als Abhängigkeiten eingebunden werden, KI-Codierungsassistenten, die pro Entwickler konfiguriert sind, sowie lokal ausgeführte MCP-Server oder Regeldateien zu erkennen. Dies erfordert eine Erkennung, die innerhalb des Codes stattfindet. SDLC (Repositories, Build) pipelineund Entwicklerendpunkte) und nicht nur in Cloud-Konsolen.
