Zitageber: Eyal Dyment, Vice President of Security Products bei JFrog

JFrog stellt JFrog Zero-Touch Remediation vor und gibt die ersten Partner seines Ökosystems für seine selbstheilende Software-Lieferkette bekannt. Zero-Touch Remediation findet für eine bekannte Schwachstelle automatisch den besten verfügbaren Fix aus dem gesamten Partner-Ökosystem und spielt ihn über die Pipeline des Kunden ein, ohne einen Build zu unterbrechen, ein Versions-Update zu erzwingen oder die Arbeit der Entwickler zu stören. Gemeinsam mit seinen Partnern entschärft JFrogSchwachstellen, bevor Angreifer sie ausnutzen können, und verkürzt die Zeitspanne zwischen Entdeckung und eingespieltem Patch auf nahezu null. So wird die selbstheilende Software-Lieferkette vom Konzept zur gelebten Realität.

„Das klassische Sicherheitskonzept, Schwachstellen finden, Tickets eröffnen, wochenlang auf manuelles Patchen warten, ist im Zeitalter der Frontier-KI zum Risiko geworden. Unternehmen haben es heute mit Angreifern zu tun, die im Tempo autonomer KI vorgehen, und mit Aufsichtsbehörden, die bei jedem Schritt belastbare Nachweise verlangen", sagt Eyal Dyment, Vice President of Security Products bei JFrog. „Unsere Kunden brauchen eine Software-Lieferkette, die Schwachstellen erkennt und ohne menschliches Zutun behebt, sobald ein Fix verfügbar ist. Das drückt die Behebungsfristen, die Vorstände heute vorgeben, von Wochen auf Minuten. Zero-Touch Remediation macht das möglich: Artifactory ist im Unternehmen die zentrale, verlässliche Instanz für alle Artefakte, übernimmt jeden Partner-Fix nativ, wendet den passendsten an, liefert die korrigierte Version an neue Builds aus und dokumentiert jeden Schritt über JFrog AppTrust."

Die Aufgabe von Sicherheitsteams war immer, schneller zu sein als der Angreifer. Doch wenn eine KI eine Schwachstelle in Minuten oder Stunden findet und zur Waffe macht, ist dieser Wettlauf nicht mehr in menschlichem Maßstab zu gewinnen. Gartner zählt Angriffe auf die Software-Lieferkette zu den vier kritischsten Sicherheitsbedrohungen, bei denen Angreifer durch Frontier-KI, also die derzeit leistungsfähigsten KI-Modelle, im Vorteil sind. Im ersten Magic Quadrant des Analysehauses für Software Supply Chain Security wurde JFrog als Leader positioniert. Das bestätigt den Wandel der Branche hin zu dynamischen, selbstheilenden Plattformen als Antwort. KI hat sich vom Assistenten zum versierten Angreifer entwickelt: Sie findet inzwischen eigenständig Schwachstellen, die in kritischen Angriffspfaden bislang übersehen wurden, und erzeugt funktionierende Exploits ohne menschliche Anleitung, noch bevor überhaupt ein CVE veröffentlicht ist.

Von der Schwachstelle zum Fix in Minuten, ohne menschliches Zutun

Die selbstheilende Software-Lieferkette von JFrog überführt die fünf Säulen der Software-Sicherheit, Prävention, Erkennung, Priorisierung, Behebung und lückenlose Nachweisbarkeit, in einen durchgängigen Ablauf in Maschinengeschwindigkeit.

• Prävention: Bedrohungsakteure stoppen, bevor sie eindringen – Damit Entwickler sichere Software ausliefern können, ohne ausgebremst zu werden, blockiert JFrog Curation mit Compliant Version Selection riskante Pakete, KI-Assets, IDE-Erweiterungen und Drittanbieter-Komponenten in dem Moment, in dem ein Entwickler sie herunterladen will, und stellt stattdessen transparent die richtlinienkonforme Version bereit.
• Erkennung: Die gesamte Lieferkette im Blick haben – JFrog Xray und JFrog Advanced Security liefern eine einheitliche Erkennung aus einem einzigen System of Record: Sie prüfen Release-Artefakte auf jede Abhängigkeit, erkennen verwundbare Code-Muster, bevor sie ausgeliefert werden, und decken offengelegte Zugangsdaten über alle Artefakt-Typen hinweg auf.
• Priorisierung: Auf reale statt theoretische Risiken reagieren – Um den Lärm rund um CVEs zu reduzieren, bewertet JFrog Contextual Analysis jeden Fund danach, ob er erreichbar und ausnutzbar ist. JFrog Runtime grenzt die Liste weiter auf das ein, was tatsächlich in der Produktion geladen ist, und JFrog AppTrust ergänzt die geschäftliche Kritikalität. So schrumpfen Tausende Tickets auf eine kurze Liste bestätigter Risiken.
• Behebung: Schneller reparieren, als sich die Bedrohung ausbreitet – Bei Software-Paketen von Drittanbietern zieht das neue JFrog Zero-Touch Remediation automatisch den besten verfügbaren Patch aus dem Partner-Ökosystem und spielt ihn transparent ein. Für eigenen Code ermöglicht die ergänzende Agentic Remediation von JFrog, dass Entwickler KI-gestützte Fixes auf Ebene des Pull-Requests erzeugen und vor dem Merge prüfen und freigeben.
• Nachweis: Jeder Fix, jeder Beleg, eine lückenlose Beweiskette – JFrog AppTrust erfasst automatisch kryptografisch signierte Nachweise für jede Aktion und liefert für jedes Release einen umfassenden, revisionssicheren Audit-Trail über den Zustand der gesamten Software-Lieferkette, jederzeit abrufbar. Das ist DevGovOps, die konsequente Erweiterung von DevSecOps um Governance: Diese ist fest in die Pipeline eingebaut, sodass der Compliance-Nachweis schon bereitliegt, wenn der Prüfer danach fragt.

Warum nur JFrog eine selbstheilende Software-Lieferkette liefern kann

„Frontier-KI zwingt jedes Unternehmen zur selben Frage: Wie behebt man eine Schwachstelle schneller, als ein autonomer Angreifer sie zur Waffe machen kann? Kein einzelner Anbieter löst das allein", sagt Gal Marder, Chief Strategy Officer bei JFrog. „Jeder unserer Partner hat eigene Patching-Fähigkeiten entwickelt, die kein anderes Unternehmen nachbilden könnte. JFrogArtifactory ist die zentrale, verlässliche Instanz für Artefakte, dort liegt jedes einzelne: Binärdateien, Container, Bibliotheken, KI-Modelle, MCP-Server, Agent Skills. Es ist die Steuerungsebene, über die Unternehmen jeden Fix ohne manuelles Zutun ausspielen. Wir übernehmen den Fix jedes Partners nativ, wenden anhand der Kundenrichtlinie den besten an und erzeugen eine vollständige, signierte Beweiskette, die der Prüfer verifizieren kann. Die Kunden behalten die Freiheit, den besten Fix zu wählen. JFrog liefert die Governance, die das Ganze zum Funktionieren bringt."

Selbstheilung wird möglich, sobald jedes Artefakt im Unternehmen durch ein einziges System of Record fließt, das zugleich als zentrale, verlässliche Instanz dient. Gemeinsam mit Broadcom,Tanzu, Chainguard, Echo, IBM/Red Hat, Moderne, Seal Security und TuxCare ordnet JFrog Zero-Touch Remediation jeden Fix dem verwundbaren Artefakt zu, spielt ihn ein, ohne Builds zu unterbrechen, und weist ihn über JFrog AppTrust nach, unabhängig davon, welcher Partner ihn erstellt hat.

• Broadcom: Spring-Patches von den Maintainern, verfasst noch vor der öffentlichen Bekanntgabe und nach SLSA Level 3 gebaut; dazu kuratierte, verifizierte Builds für Java, Python und Node.js.
• Chainguard Libraries: Malware-freie Pakete für Java, Python und JavaScript, dazu aus dem Quellcode gebaute Backport-Versionen, die kritische und schwerwiegende CVEs beheben.
• Echo Libraries: Abdeckung für npm, PyPI, Java, Go, .NET, Perl und weitere, mit Patches für kritische und schwerwiegende CVEs auf den Versionen, die Teams ohnehin einsetzen, einschließlich transitiver Abhängigkeiten.
• IBM/Red Hat Lightwell: Lightwell, eine gemeinsame Initiative von Red Hat und IBM, verschafft Unternehmen Zugang zu wichtigen Sicherheitskorrekturen und Gegenmaßnahmen und hilft ihnen, verwundbare Open-Source-Abhängigkeiten von Drittanbietern einfacher und schneller zu schließen.
• Moderne Backpatch Alliance: Kritische Open-Source-Pakete am Ende ihres Lebenszyklus, von den ursprünglichen Maintainern zurückgepatcht, aus Upstream-Commits ausgewählt und als reguläre Maven-Artefakte veröffentlicht.
• TuxCare SecureChain: Open-Source-Pakete, aus dem Quellcode neu gebaut, auf Malware geprüft und fortlaufend gepatcht, inklusive Endless Lifecycle Support, wenn die Upstream-Pflege endet.
• Seal Security: Eigenständige Backport-Patches, die dieselbe Versionsnummer behalten, kryptografisch signiert, mit einer Reaktionszeit von 72 Stunden für schwerwiegende wie kritische CVEs.

„Open-Source-Bibliotheken sind zu einer kritischen Angriffsfläche für moderne Anwendungen geworden", sagt Patrick Donahue, Senior Vice President, Product, bei Chainguard. „Durch die Integration der Chainguard Libraries in JFrog Zero-Touch Remediation können gemeinsame Kunden verwundbare Abhängigkeiten direkt in JFrog durch die von Haus aus sicheren Bibliotheken von Chainguard ersetzen. So verhindern wir Malware und CVEs, ohne Entwickler auszubremsen."