©JFrog

Entwickler der JFrog Software Supply Chain Plattform, dem System of Record für vertrauenswürdige Software-Artefakte, Binärdateien und KI-Assets, stellt JFrog Zero-Touch Remediation vor und gibt die ersten Partner seines Ökosystems für eine selbstheilende Software-Lieferkette bekannt. Zero-Touch Remediation findet für eine bekannte Schwachstelle automatisch den besten verfügbaren Fix aus dem gesamten Partner-Ökosystem und spielt ihn über die Pipeline des Kunden ein, ohne einen Build zu unterbrechen, ein Versions-Update zu erzwingen oder die Arbeit der Entwickler zu stören. Gemeinsam mit seinen Partnern entschärft JFrog Schwachstellen, bevor Angreifer sie ausnutzen können, und verkürzt die Zeitspanne zwischen Entdeckung und eingespieltem Patch auf nahezu null. So wird die selbstheilende Software-Lieferkette vom Konzept zur gelebten Realität.


„Das klassische Sicherheitskonzept, Schwachstellen finden, Tickets eröffnen, wochenlang auf manuelles Patchen warten, ist im Zeitalter der Frontier-KI zum Risiko geworden. Unternehmen haben es heute mit Angreifern zu tun, die im Tempo autonomer KI vorgehen, und mit Aufsichtsbehörden, die bei jedem Schritt belastbare Nachweise verlangen“, sagt Eyal Dyment, Vice President of Security Products bei JFrog. „Unsere Kunden brauchen eine Software-Lieferkette, die Schwachstellen erkennt und ohne menschliches Zutun behebt, sobald ein Fix verfügbar ist. Das drückt die Behebungsfristen, die Vorstände heute vorgeben, von Wochen auf Minuten. Zero-Touch Remediation macht das möglich: Artifactory ist im Unternehmen die zentrale, verlässliche Instanz für alle Artefakte, übernimmt jeden Partner-Fix nativ, wendet den passendsten an, liefert die korrigierte Version an neue Builds aus und dokumentiert jeden Schritt über JFrog AppTrust.“


Die Aufgabe von Sicherheitsteams war immer, schneller zu sein als der Angreifer. Doch wenn eine KI eine Schwachstelle in Minuten oder Stunden findet und zur Waffe macht, ist dieser Wettlauf nicht mehr in menschlichem Maßstab zu gewinnen. Gartner zählt Angriffe auf die Software-Lieferkette zu den vier kritischsten Sicherheitsbedrohungen, bei denen Angreifer durch Frontier-KI, also die derzeit leistungsfähigsten KI-Modelle, im Vorteil sind. Im ersten Magic Quadrant des Analysehauses für Software Supply Chain Security wurde JFrog als Leader positioniert. Das bestätigt den Wandel der Branche hin zu dynamischen, selbstheilenden Plattformen als Antwort. KI hat sich vom Assistenten zum versierten Angreifer entwickelt: Sie findet inzwischen eigenständig Schwachstellen, die in kritischen Angriffspfaden bislang übersehen wurden, und erzeugt funktionierende Exploits ohne menschliche Anleitung, noch bevor überhaupt ein CVE veröffentlicht ist.


Von der Schwachstelle zum Fix in Minuten, ohne menschliches Zutun
Die selbstheilende Software-Lieferkette von JFrog überführt die fünf Säulen der Software-Sicherheit, Prävention, Erkennung, Priorisierung, Behebung und lückenlose Nachweisbarkeit, in einen durchgängigen Ablauf in Maschinengeschwindigkeit.

  • Prävention: Bedrohungsakteure stoppen, bevor sie eindringen – Damit Entwickler sichere Software ausliefern können, ohne ausgebremst zu werden, blockiert JFrog Curation mit Compliant Version Selection riskante Pakete, KI-Assets, IDE-Erweiterungen und Drittanbieter-Komponenten in dem Moment, in dem ein Entwickler sie herunterladen will, und stellt stattdessen transparent die richtlinienkonforme Version bereit.
  • Erkennung: Die gesamte Lieferkette im Blick haben – JFrog Xray und JFrog Advanced Security liefern eine einheitliche Erkennung aus einem einzigen System of Record: Sie prüfen Release-Artefakte auf jede Abhängigkeit, erkennen verwundbare Code-Muster, bevor sie ausgeliefert werden, und decken offengelegte Zugangsdaten über alle Artefakt-Typen hinweg auf.
  • Priorisierung: Auf reale statt theoretische Risiken reagieren – Um den Lärm rund um CVEs zu reduzieren, bewertet JFrog Contextual Analysis jeden Fund danach, ob er erreichbar und ausnutzbar ist. JFrog Runtime grenzt die Liste weiter auf das ein, was tatsächlich in der Produktion geladen ist, und JFrog AppTrust ergänzt die geschäftliche Kritikalität. So schrumpfen Tausende Tickets auf eine kurze Liste bestätigter Risiken.
  • Behebung: Schneller reparieren, als sich die Bedrohung ausbreitet – Bei Software-Paketen von Drittanbietern zieht das neue JFrog Zero-Touch Remediation automatisch den besten verfügbaren Patch aus dem Partner-Ökosystem und spielt ihn transparent ein. Für eigenen Code ermöglicht die ergänzende Agentic Remediation von JFrog, dass Entwickler KI-gestützte Fixes auf Ebene des Pull-Requests erzeugen und vor dem Merge prüfen und freigeben.
  • Nachweis: Jeder Fix, jeder Beleg, eine lückenlose Beweiskette – JFrog AppTrust erfasst automatisch kryptografisch signierte Nachweise für jede Aktion und liefert für jedes Release einen umfassenden, revisionssicheren Audit-Trail über den Zustand der gesamten Software-Lieferkette, jederzeit abrufbar. Das ist DevGovOps, die konsequente Erweiterung von DevSecOps um Governance: Diese ist fest in die Pipeline eingebaut, sodass der Compliance-Nachweis schon bereitliegt, wenn der Prüfer danach fragt.

Warum nur JFrog eine selbstheilende Software-Lieferkette liefern kann
„Frontier-KI zwingt jedes Unternehmen zur selben Frage: Wie behebt man eine Schwachstelle schneller, als ein autonomer Angreifer sie zur Waffe machen kann? Kein einzelner Anbieter löst das allein“, sagt Gal Marder, Chief Strategy Officer bei JFrog. „Jeder unserer Partner hat eigene Patching-Fähigkeiten entwickelt, die kein anderes Unternehmen nachbilden könnte. JFrog Artifactory ist die zentrale, verlässliche Instanz für Artefakte, dort liegt jedes einzelne: Binärdateien, Container, Bibliotheken, KI-Modelle, MCP-Server, Agent Skills. Es ist die Steuerungsebene, über die Unternehmen jeden Fix ohne manuelles Zutun ausspielen. Wir übernehmen den Fix jedes Partners nativ, wenden anhand der Kundenrichtlinie den besten an und erzeugen eine vollständige, signierte Beweiskette, die der Prüfer verifizieren kann. Die Kunden behalten die Freiheit, den besten Fix zu wählen. JFrog liefert die Governance, die das Ganze zum Funktionieren bringt.“

Selbstheilung wird möglich, sobald jedes Artefakt im Unternehmen durch ein einziges System of Record fließt, das zugleich als zentrale, verlässliche Instanz dient. Gemeinsam mit Broadcom Tanzu, Chainguard, Echo, IBM/Red Hat, Moderne, Seal Security und TuxCare ordnet JFrog Zero-Touch Remediation jeden Fix dem verwundbaren Artefakt zu, spielt ihn ein, ohne Builds zu unterbrechen, und weist ihn über JFrog AppTrust nach, unabhängig davon, welcher Partner ihn erstellt hat.

  • Broadcom: Spring-Patches von den Maintainern, verfasst noch vor der öffentlichen Bekanntgabe und nach SLSA Level 3 gebaut; dazu kuratierte, verifizierte Builds für Java, Python und Node.js.
  • Chainguard Libraries: Malware-freie Pakete für Java, Python und JavaScript, dazu aus dem Quellcode gebaute Backport-Versionen, die kritische und schwerwiegende CVEs beheben.
  • Echo Libraries: Abdeckung für npm, PyPI, Java, Go, .NET, Perl und weitere, mit Patches für kritische und schwerwiegende CVEs auf den Versionen, die Teams ohnehin einsetzen, einschließlich transitiver Abhängigkeiten.
  • IBM/Red Hat Lightwell: Lightwell, eine gemeinsame Initiative von Red Hat und IBM, verschafft Unternehmen Zugang zu wichtigen Sicherheitskorrekturen und Gegenmaßnahmen und hilft ihnen, verwundbare Open-Source-Abhängigkeiten von Drittanbietern einfacher und schneller zu schließen.
  • Moderne Backpatch Alliance: Kritische Open-Source-Pakete am Ende ihres Lebenszyklus, von den ursprünglichen Maintainern zurückgepatcht, aus Upstream-Commits ausgewählt und als reguläre Maven-Artefakte veröffentlicht.
  • TuxCare SecureChain: Open-Source-Pakete, aus dem Quellcode neu gebaut, auf Malware geprüft und fortlaufend gepatcht, inklusive Endless Lifecycle Support, wenn die Upstream-Pflege endet.
  • Seal Security: Eigenständige Backport-Patches, die dieselbe Versionsnummer behalten, kryptografisch signiert, mit einer Reaktionszeit von 72 Stunden für schwerwiegende wie kritische CVEs.

„Open-Source-Bibliotheken sind zu einer kritischen Angriffsfläche für moderne Anwendungen geworden“, sagt Patrick Donahue, Senior Vice President, Product, bei Chainguard. „Durch die Integration der Chainguard Libraries in JFrog Zero-Touch Remediation können gemeinsame Kunden verwundbare Abhängigkeiten direkt in JFrog durch die von Haus aus sicheren Bibliotheken von Chainguard ersetzen. So verhindern wir Malware und CVEs, ohne Entwickler auszubremsen.“
„KI hat die Zeitfenster für Bedrohungen verkürzt, und ungelöste Sicherheitsprobleme, die sich über die Zeit angehäuft haben, sind heute ein unmittelbares Betriebsrisiko. Die Branche braucht aktive Behebung, nicht nur das Erkennen von Schwachstellen“, sagt Gunnar Hellekson, Vice President und General Manager der Lightwell Business Unit bei Red Hat. „Lightwell dient dabei als gemeinschaftliche Anlaufstelle und verbindet die Geschwindigkeit der KI mit verlässlicher menschlicher Expertise, um Kunden und der Open-Source-Community getestete Fixes zu liefern. Indem wir die Intelligenz von Lightwell direkt in den Artefakt-Workflow von JFrog einbinden, können Kunden Bedrohungen automatisch entschärfen und zugleich Vertrauen, Governance und die Integrität der Community wahren, die für Open Source unverzichtbar sind.“

JFrog Zero-Touch Remediation ist ab sofort als Teil von JFrog Unified Security verfügbar. Interessierte Kunden können hier eine Live-Demonstration vereinbaren. Mehr über JFrog Zero-Touch Remediation erfahren Sie in diesem Blog oder bei der Anmeldung zum Webinar „Secure at Frontier Speed“ , das am Mittwoch, 30. September, um 20 Uhr CEST stattfindet.

Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“