AI-SPM (AI Security Posture Management) ist die Praxis, die Sicherheit aller in Ihrem Unternehmen eingesetzten KI-Ressourcen (Modelle, Agenten, MCP-Server, Datensätze, KI-Codierungswerkzeuge und KI-Frameworks) kontinuierlich zu ermitteln, zu bewerten und durchzusetzen. Dabei werden auch die Beziehungen, Risiken und regulatorischen Verpflichtungen berücksichtigt, die diese Ressourcen verbinden. Falls Sie sich fragen, was AI-SPM ist und warum es gerade jetzt wichtig ist: Die kurze Antwort lautet: Man kann nur das schützen, was man sieht, und die meisten Unternehmen können die in ihren Systemen laufende KI nicht einsehen. pipelines.
As KI wird in jede Phase der Softwareentwicklung integriert.Herkömmliche AppSec-Sicherheitsmanagement-Systeme waren nicht darauf ausgelegt, Modelle, Agentenfunktionen oder die Reichweite von MCP-Servern zu verstehen. AI-SPM schließt diese Lücke. Dieser Leitfaden erklärt, was KI-gestütztes Sicherheitsmanagement ist und wie es sich von herkömmlichen Systemen unterscheidet. ASPMWarum es zu einer Compliance-Anforderung wird und wie eine ausgereifte KI-gestützte SPM-Praxis im Jahr 2026 aussehen wird.
Was ist AI-SPM? Eine ausführliche Definition #
AI Security Posture Management (AI-SPM) ist eine Sicherheitsdisziplin, die kontinuierliche Erkennung, Risikobewertung und Richtliniendurchsetzung auf KI-spezifische Assets über den gesamten Softwareentwicklungszyklus hinweg anwendet. Wo traditionelle Application Security Posture Management (ASPM) fasst die Ergebnisse zusammen und priorisiert sie. SAST, SCA, DASTNeben geheimen Werkzeugen erweitert AI-SPM diesen Anwendungsbereich auf Assets, für deren Verständnis diese Werkzeuge nie konzipiert wurden: große Sprachmodelle, autonome Agenten, Model Context Protocol-Server, Prompt-Konfigurationen, Datensätze und KI-Codierungsassistenten.
Die Kernfunktion von AI-SPM ist dieselbe wie bei jedem anderen Sicherheitsmanagement: Man muss wissen, was man hat, die damit verbundenen Risiken verstehen und Richtlinien durchsetzen, bevor es zu einem Vorfall kommt. Der Unterschied liegt in der Assetklasse. Ein falsch konfigurierter MCP-Server, ein Agent mit übermäßigen Berechtigungen oder ein Modell, das auf fehlerhafte Daten zugreift, ist kein Sicherheitsrisiko. Schwachstelle im traditionellen CVE-Sinne; Es handelt sich um Haltungsfehler, die eine KI-spezifische Erkennungslogik, eine KI-spezifische Risikobewertung und KI-spezifische Abhilfemaßnahmen.
AI-SPM wird manchmal als die KI-Schicht obenauf beschrieben. ASPMund manchmal auch als eigenständige Vorgehensweise. In beiden Fällen ist die grundlegende Anforderung dieselbe: Organisationen benötigen eine systematische Methode, um alle KI-Ressourcen zu erfassen, deren Risiken zu bewerten und auf Grundlage der Ergebnisse zu handeln.
KI-SPM vs. ASPMWorin besteht der Unterschied? #
ASPM (Application Security Posture Managementwurde entwickelt, um Ergebnisse aus traditionellen AppSec-Tools zu korrelieren (SAST, SCA, DAST, Geheimnisscanner, IaC Analysatoren) in eine einheitliche Risikobetrachtung des gesamten Anwendungsportfolios. Sie beantwortet die Frage: Welche Schwachstellen existieren in unserem Code und unseren Abhängigkeiten, und welche davon sind am wichtigsten?
AI-SPM stellt eine andere Frage: Welche KI läuft in unserer Umgebung, was kann sie leisten und ist sie sicher konfiguriert?
Die beiden Praktiken ergänzen sich, anstatt miteinander zu konkurrieren:
ASPM umfasst Code, Abhängigkeiten, pipelineund Infrastruktur. AI-SPM umfasst Modelle, Agenten, MCP-Server, Prompt-Konfigurationen und Datensätze. Wo ASPM AI-SPM bewertet das Risiko anhand der Schwere und Erreichbarkeit von CVEs, AI-SPM bewertet das Risiko anhand von KI-spezifischen Angriffsvektoren, der Exposition gegenüber sofortiger Einspeisung, übermäßiger Handlungsfähigkeit, unsicheren MCP-Konfigurationen, Schatten-KI und Datenlecks durch RAG-Systeme.
In einem ausgereiften Sicherheitsprogramm fließt KI-SPM in folgende Daten ein: ASPM: Das Risiko von KI-Assets ist ein weiteres Signal in der einheitlichen Risikobewertung, das mit dem Risiko auf Codeebene korreliert ist und pipeline security um ein vollständiges Bild der Angriffsfläche der Organisation zu erhalten.
htmlWarum KI-SPM jetzt wichtig ist #
Drei Faktoren haben dazu geführt, dass AI-SPM von einer zukünftigen Überlegung zu einer unmittelbaren operativen Notwendigkeit geworden ist.
- KI-Systeme verbreiten sich schneller, als die Regierungsführung folgen kann. Entwickler konfigurieren MCP-Server lokal, laden Modelle von öffentlichen Hubs herunter, aktivieren KI-Codierungsassistenten pro IDE und setzen autonome Agenten ein. CI/CD pipelineOftmals ohne formelle Genehmigung. Laut einer Umfrage unter Sicherheitsverantwortlichen aus dem Jahr 2026 gaben lediglich 19 % an, vollständige Transparenz darüber zu haben, wo und wie KI in ihrem Unternehmen eingesetzt wird. Die übrigen agieren im Blindflug.
- Die Angreifer zielen direkt auf die KI-Ebene ab. Die PromptMink-Kampagne entwickelte bösartige npm-Pakete, die speziell darauf ausgelegt waren, KI-Codierungsagenten zu täuschen. Die Cluster ollama-helpers und openai-agents-helpers zielten auf Pakete ab, die in agentenbasierten Arbeitsabläufen verwendet wurden. SkillLeak Das Muster verbarg einen Anmeldeinformationsentschlüsseler in einer MCP-Fähigkeit anstatt in einem Installations-Hook, vorhercisely, weil installieren hooks Hier suchen Scanner. Herkömmliche AppSec-Tools verstehen diese Angriffsflächen nicht. AI-SPM hingegen schon.
- Die Regulierung kommt. Das EU-KI-Gesetz, das NIST AI RMF und ISO/IEC 42001 verpflichten Organisationen zur Dokumentation, Klassifizierung und Steuerung ihrer KI-Systeme. Ohne Kenntnis der eingesetzten KI-Systeme können diese Verpflichtungen nicht erfüllt werden. AI-SPM ist daher Voraussetzung für die Einhaltung der Vorschriften und keine Ergänzung.
Was umfasst AI-SPM? #
Eine vollständige AI-SPM-Praxis umfasst vier Fähigkeiten:
- Durchsetzung. Auf Grundlage der Ergebnisse der Sicherheitsanalyse werden nicht genehmigte MCP-Server am Entwicklerendpunkt blockiert, schädliche Abhängigkeiten vor ihrer Installation abgefangen, Konfigurationen, die die Grenzen der minimalen Berechtigungen überschreiten, gekennzeichnet und kompromittierte Endpunkte isoliert, bevor sich ein Vorfall ausbreitet.
- Entdeckung. Die kontinuierliche Suche nach sämtlichen KI-Ressourcen im gesamten Unternehmen (Modelle, Agenten, MCP-Server, KI-Codierungswerkzeuge, Datensätze und KI-Frameworks), einschließlich derjenigen, die nie von der IT genehmigt wurden, ist dabei entscheidend. Schatten-KI ist am schwierigsten aufzuspüren, da sie auf Entwickler-Laptops, in lokalen IDE-Konfigurationen und in internen Systemen vorhanden ist. CI/CD pipelines anstatt in Cloud-Konsolen.
- Risikobewertung. Jedes Asset wird hinsichtlich KI-spezifischer Angriffsvektoren bewertet: Gefährdung durch sofortige Einschleusung, Risiko der Tool-Vergiftung, übermäßige Handlungsfähigkeit, unsichere MCP-Konfigurationen, Datenlecks durch RAG-Systeme und unkontrollierte Schatten-KI. Die CVE-Schwere allein erfasst diese Risiken nicht; AI-SPM benötigt ein Risikomodell, das speziell auf den KI-Angriffspfad zugeschnitten ist.
- Regulierungskartierung. Jedes KI-Asset wird mit den Compliance-Anforderungen gemäß EU-KI-Gesetz, NIST AI RMF, ISO/IEC 42001 und den OWASP Top 10 für LLM-Anwendungen und Agenten-Apps verknüpft. Die KI-Stückliste (AI-BOM) ist das auditfähige Ergebnis dieser Zuordnung: ein maschinenlesbares Verzeichnis aller KI-Assets mit ihrer Risikostufe und regulatorischen Klassifizierung.
AI-SPM und die AI-BOM #
Die AI-BOM (AI Bill of Materials) ist das exportierbare, prüfbereite Artefakt, das AI-SPM erzeugt. SBOM katalogisiert Open-Source- und Drittanbieter-Softwareabhängigkeiten, eine KI-BOM Katalogisiert KI-spezifische Assets: Modelle, Datensätze, Agenten, MCP-Server und KI-Codierungswerkzeuge mit Angabe ihrer Herkunft, ihres Risikoniveaus und ihrer regulatorischen Zuordnung.
Sicherheitsverantwortliche erhalten zunehmend Anfragen von Prüfern und enterprise Beschaffungsteams benötigen genau dieses Artefakt. Organisationen, die eine KI-basierte Stückliste bedarfsgerecht erstellen können (als kontinuierliches Ergebnis ihrer KI-gestützten Prozessoptimierung und nicht als manuelle Einzelleistung), werden im Zuge der Weiterentwicklung der Prüfverpflichtungen gemäß EU-KI-Gesetz einen erheblichen Vorteil in Bezug auf Compliance und Vertrauen genießen.
AI-SPM und die OWASP-Frameworks #
Die Erkennung von KI-spezifischen Risikorisiken sollte mit den Rahmenwerken der Community, die KI-spezifische Risiken definieren, abgestimmt sein:
- Das OWASP Top 10 für LLM-Bewerbungen AI-SPM deckt die zehn kritischsten Risiken für Anwendungen ab, die auf großen Sprachmodellen basieren, darunter Prompt-Injection, unsichere Ausgabeverarbeitung, Offenlegung sensibler Informationen, übermäßige Kontrolle und mehr. AI-SPM ordnet die Gefährdung jedes KI-Assets diesen Kategorien zu.
- Das OWASP Top 10 für Agentic-Apps erweitert dieses Framework auf Arbeitsabläufe autonomer Agenten und deckt Risiken wie Agentenübernahme, unkontrollierten Werkzeugaufruf und Speichervergiftung ab, die spezifisch für agentenbasierte Architekturen sind.
- Das OWASP MCP Top 10 behandelt die Sicherheitsrisiken, die durch Model Context Protocol-Integrationen, Tool-Poisoning, Prompt-Injection über MCP, unautorisierte Tool-Ausführung und Schatten-MCP-Server entstehen.
Die Ausrichtung an diesen Rahmenwerken wandelt die Ergebnisse des KI-gestützten SPM in umsetzbare, extern validierte Risikoklassifizierungen um, die von Wirtschaftsprüfern und enterprise Käufer können dies bewerten.
Worauf Sie bei KI-SPM-Tools achten sollten #
Wenn Sie die Fähigkeiten von AI-SPM bewerten, sind dies die Anforderungen, die ein echtes KI-basiertes Haltungsmanagement von einer statischen Anlagenliste unterscheiden:
Reicht in die SDLC: KI im Code entdecken, aufbauen pipelineund zwar auf Entwicklerendpunkten, nicht nur in Cloud-Konsolen, wo die meisten Schatten-KI nie auftaucht.
Versteht KI-spezifische Asset-Typen, Modelle, Agenten, MCP-Server, Datensätze, Prompt-Konfigurationen, nicht nur Pakete und Bibliotheken.
Bewertet das Risiko anhand von KI-spezifischen Angriffsvektoren (Prompt Injection, unsichere MCP, übermäßige Handlungsfähigkeit, Schatten-KI) und nicht nur anhand der CVE-Schwere.
Erstellt eine auditfähige KI-Stückliste mit regulatorischer Zuordnung zum EU-KI-Gesetz, NIST AI RMF und ISO/IEC 42001.
Verknüpft die Haltung mit der Durchsetzung: So werden Ergebnisse in blockierte Abhängigkeiten, abgelehnte MCP-Server und eingeschränkte Endpunkte übersetzt, nicht nur in eine dashboard offene Fragen.
Läuft kontinuierlich: Erfasst neue KI-Assets, sobald sie auftauchen, und ist nicht nur eine Momentaufnahme, die nach wenigen Tagen veraltet ist.
Sicherung der KI-Sicherheit mit Xygeni #
AI-SPM benötigt mehr als ein dashboardEs erfordert eine kontinuierliche Erkennung, die bis zum Entwicklerendpunkt reicht, eine Risikobewertung, die auf den KI-Angriffspfad zugeschnitten ist, und die Fähigkeit, Richtlinien durchzusetzen, bevor ein falsch konfigurierter MCP-Server oder eine bösartige Abhängigkeit einen Vorfall verursacht.
Xygenis KI-Sicherheitsplattform bietet AI-SPM als kontinuierliche Praxis: Erkennung jedes Modells, Agenten, MCP-Servers und KI-Codierungstools in Ihrem gesamten Netzwerk SDLC mittels AI-SPM, Bewertung des Risikos anhand der OWASP Top 10 für LLM-Anwendungen, Agentic Apps und MCP, Erstellung einer exportierbaren KI-Stückliste für Wirtschaftsprüfer und enterprise Käufer und die Durchsetzung von Richtlinien am Entwickler-Endpunkt durch Shieldwodurch nicht genehmigte MCP-Server und schädliche Abhängigkeiten blockiert werden, bevor sie das Ziel erreichen. pipeline.
Wenn Ihre Teams KI-basierte Programmierassistenten einsetzen, besteht das Problem der KI-Sicherheit bereits. Die Frage ist, ob Sie die nötige Transparenz besitzen, um es zu steuern.
FAQ #
MCAI-SPM wird verwendet, um alle im gesamten Unternehmen eingesetzten KI-Ressourcen zu ermitteln, das Risiko jeder Ressource im Hinblick auf KI-spezifische Angriffsvektoren zu bewerten, eine KI-Stückliste für Compliance- und Prüfungszwecke zu erstellen und Richtlinien am Entwicklerendpunkt durchzusetzen, indem nicht genehmigte MCP-Server und schädliche Abhängigkeiten blockiert werden, bevor sie einen Vorfall verursachen.
Der EU-KI-Gesetzentwurf nennt AI-SPM nicht explizit, doch die darin enthaltenen Dokumentations-, Klassifizierungs- und Registrierungspflichten für risikoreiche KI-Systeme lassen sich ohne Kenntnis der eingesetzten KI nicht erfüllen. AI-SPM ist die Vorgehensweise, die diese Verpflichtungen ermöglicht. Gleiches gilt für das NIST AI RMF und ISO/IEC 42001.
Betrachten Sie das KI-Inventar als Grundlage und AI-SPM als das Gesamtkonzept. Das Inventar erfasst und katalogisiert alle KI-Assets: ihre Art, ihren Einsatzort und ihre Reichweite. AI-SPM baut auf dieser Grundlage auf: Es bewertet Risiken anhand KI-spezifischer Angriffsvektoren, ordnet jedes Asset regulatorischen Verpflichtungen zu und setzt Richtlinien auf Basis der Ergebnisse durch. Das Inventar ist für AI-SPM unerlässlich. Doch ein Inventar allein, ohne Bewertung und Durchsetzung, ist lediglich eine Liste.
Schatten-KI ist die KI, die Ihr Sicherheitsteam nicht genehmigt hat und nicht sehen kann, das Modell, das ein Entwickler aus einem öffentlichen Hub entnommen hat, der MCP-Server, der auf einem Laptop läuft, der Agent, der sich unbemerkt öffnet pull requests in einem pipeline Es wurde nicht geprüft. In der Cloud-Konsole wird es selten angezeigt, weshalb die reine Cloud-Erkennung den Großteil davon nicht erfasst. AI-SPM ist für Schatten-KI relevant, da es die Orte erreicht, an denen Schatten-KI tatsächlich existiert: Code-Repositories, Build-Umgebungen und Entwickler-Endpunkte. So werden Assets erkannt, bevor sie zu einem unkontrollierten Risiko werden.
