Thought Leadership
KI-Agenten können Software inzwischen weitgehend autonom entwickeln, testen und bereitstellen.
JFrog reagiert darauf mit neuen Funktionen für AppTrust, die Governance- und Compliance-Prozesse stärker in die Software-Lieferkette integrieren und automatisieren sollen.
Entwicklung und Kontrolle geraten auseinander
Während KI-gestützte Entwicklungsprozesse innerhalb weniger Stunden neue Softwareversionen erzeugen können, arbeiten viele Governance- und Compliance-Prozesse weiterhin deutlich langsamer. Manuelle Prüfungen, Dokumentationen und regelmäßige Audits lassen sich damit nur schwer auf das Tempo automatisierter Entwicklung abstimmen.
Gleichzeitig steigen die Anforderungen an den Nachweis von Compliance. JFrog verweist unter anderem auf Vorgaben aus der KI-Cyberrichtlinie der EZB, dem EU Cyber Resilience Act (CRA), NIST SSDF und FedRAMP. Für Unternehmen wird damit zunehmend relevant, nicht nur Sicherheitsmaßnahmen umzusetzen, sondern deren Einhaltung für einzelne Softwareversionen nachvollziehbar zu dokumentieren.
Shlomi Ben Haim, Mitbegründer und CEO von JFrog, beschreibt die Veränderung so: „Governance darf nicht etwas sein, das man nachträglich in einer Tabelle oder bei einem vierteljährlichen Audit erledigt – sie muss in das Release selbst integriert sein.“
Governance wird Teil der Lieferkette
Mit den neuen AppTrust-Funktionen verfolgt JFrog einen Ansatz, bei dem Richtlinien, Nachweise, Kontrollen und die Überwachung direkt in den Entwicklungs- und Release-Prozess eingebunden werden. Das Konzept DevGovOps umfasst dabei vier Bereiche.
Bei der Kodifizierung können Sicherheitsteams Compliance-Regeln mithilfe eines KI-gestützten Policy-as-Code-Ansatzes formulieren und anhand realer Softwareversionen testen. Die geprüften Regeln lassen sich anschließend als Vorlagen wiederverwenden.
Eine zweite Säule ist der Nachweis der einzelnen Entwicklungsschritte. Die sogenannte „Prompt-to-Release“-Rückverfolgbarkeit soll Genehmigungen, Builds, Sicherheitsprüfungen und Freigaben automatisch erfassen. Dabei wird auch die Verbindung zwischen der ursprünglichen Aufgabe eines KI-Agenten und dem daraus entstandenen Software-Artefakt hergestellt.
Vorgefertigte Regeln und laufende Kontrolle
Für etablierte Compliance-Anforderungen stellt JFrog zudem vorgefertigte Regelwerke bereit. Die neuen Frameworks orientieren sich unter anderem am Cyber Resilience Act und am NIST SSDF und sollen entsprechende Kontrollen automatisiert anwenden.
Die Governance endet dabei nicht mit der Veröffentlichung einer Softwareversion. Über eine Post-Release-Governance soll AppTrust aktive Versionen während ihres gesamten Supportzeitraums überwachen. Dadurch sollen Unternehmen auch nach der Bereitstellung nachvollziehen können, ob eine Version weiterhin den geltenden Anforderungen entspricht und ob neue Sicherheitsrisiken auftreten.
Regulierung erhöht den Handlungsdruck
Neben dem steigenden Entwicklungstempo erhöhen auch mögliche Sanktionen den Druck auf Unternehmen. JFrog nennt für Verstöße gegen den CRA mögliche Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Im Zusammenhang mit NIS2 können zudem Mitglieder von Leitungsgremien persönlich zur Verantwortung gezogen werden.
Die zentrale Herausforderung besteht damit darin, Governance nicht als nachgelagerte Prüfung zu behandeln, sondern sie mit den automatisierten Abläufen der Softwareentwicklung zu verbinden. JFrog will die entsprechenden AppTrust-Funktionen im dritten Quartal 2026 für Kunden bereitstellen.
(red/JFrog)
