Ein Coding-Agent, der morgens ein Modell von Hugging Face zieht, einen MCP-Server aus dem Netz ansteuert und einen Skill zur Code-Optimierung ausführt – in vielen Unternehmen läuft dieser Prozess an der klassischen Sicherheitsprüfung vorbei. Die Entwicklung des JFrog AI Catalog zeigt, dass dieser blinde Fleck inzwischen geschlossen werden kann: Was als sicheres Modell-Register begann, ist heute eine AI Control Plane für sämtliche KI-Assets eines Unternehmens. Die Darstellung stammt allerdings von JFrog selbst: Der zugrunde liegende Beitrag ist ein Produktblog aus dem eigenen Haus, geschrieben von Guy Eshet, Senior Manager Product Management.
Um einzuordnen, warum dieser Schritt nötig ist, muss man die neue Realität der Softwareentwicklung verstehen. Der Übergang vom klassischen SDLC zum Agentic Development Lifecycle hat die Sicherheitsarchitektur vieler Teams überholt. Ein Agent arbeitet nicht mit wenigen geprüften Abhängigkeiten, sondern komponiert seine Werkzeuge zur Laufzeit aus Quellen, die niemand vorsortiert hat. JFrog nennt das Ziel dieser Entwicklung ‚Agent Immunization‘: Agenten sollen nur die KI-Assets nutzen, die explizit freigegeben wurden. Der Schlüssel dazu ist eine zentrale Kontrollebene – ein AI Control Plane.
Vom SDLC zum ADLC: Warum traditionelle Security-Gates nicht mehr greifen
Noch im September 2025 war die wichtigste Frage für Plattform-Teams, wo ihre Modelle liegen sollten. Modelle galten als KI-Lieferkette: Man wählte eines aus, scannte es, versionierte es, stellte es bereit und hielt fest, in welchen Builds es mit welchen Gewichten verwendet wurde. JFrog baute dafür einen zentralen Hub, der Modelle von Hugging Face, NVIDIA NIM, externen Anbietern und aus eigener Feinabstimmung kontrolliert verfügbar macht.
Der Softwareentwicklungszyklus hat sich verändert. Früher verwandelte ein SDLC von Menschen geschriebenen Code in ein Binär-Release. Heute arbeiten Unternehmen im ADLC: Eine Spezifikation geht an einen Agenten, der Agent generiert den Code, daraus entsteht das Binärartefakt. Diese Verschiebung bricht das alte Sicherheitsmodell. Kontrollen für menschlichen Code sehen nicht vor, dass ein Agent seine Komponenten eigenständig zusammenstellt.
Wie lässt sich Governance aufrechterhalten, wenn nicht mehr jede Zeile selbst geschrieben wird? JFrog antwortet mit dem AI Catalog – das Produkt musste dafür weit über ein Modell-Register hinauswachsen. Der Grund wird sichtbar, sobald man die Anatomie eines Agenten betrachtet.
Die Anatomie eines Agenten: Mehrere Zulieferketten auf einmal
Ein Agent ist kein einzelnes Artefakt, das einmal geprüft werden kann. Er wird aus mehreren Bausteinen zusammengesetzt, die jeweils ihre eigene Lieferkette in die Umgebung ziehen. Dazu gehören Modelle, MCP-Server, Skills und Plugins, aber auch Regeln und Hooks.
Modelle können lokal liegen, feinabgestimmt sein oder über externe APIs angebunden werden. MCP-Server erlauben dem Agenten, Aktionen auszuführen – entweder über APIs oder als lokale Pakete. Skills und Plugins sind paketierte Verhaltensweisen, Bündel aus Anweisungen, Skripten und Hilfsdateien. Dazu kommen Regeln als Leitplanken und Hooks, die an bestimmten Punkten im Agentenablauf automatisch externe Aktionen auslösen. Schließlich gibt es den Agent Package Manager, einen Open-Source-Abhängigkeitsmanager für KI-Agenten, der als vollständig konfigurierte Einheit nutzbar ist.
Jedes dieser Teile ist eine Tür in die eigene Umgebung. Weil der Agent sie nach eigenem Ermessen von außen zieht, hat nichts davon die übliche Prüfung durchlaufen. Das ist der Kontrollverlust, den viele Sicherheitsteams erst bemerken, wenn ein Vorfall auftritt.
Die Angriffe sind real: Lücken, die sich bereits auszahlen
Die Sicherheitsforscher von JFrog haben in den vergangenen Monaten kompromittierte KI-Assets aus dem Netz gezogen. Die Muster sollten zu denken geben. Ein bösartiges Paket, das den Postmark-Email-MCP imitierte, umging eine oberflächliche Prüfung und sendete im Hintergrund eine BCC-Kopie jeder E-Mail an einen Angreifer.
Beim omnicogg-Vorfall steckte in einem harmlos aussehenden Skill eine 22 MB große Datei, die einen verschlüsselten Payload ausführen sollte. Diese Datei schlüpfte an allen 65 VirusTotal-Engines vorbei und wurde innerhalb von 19 Tagen mehr als 5.000 Mal installiert, bevor Forscher sie offenlegten. Auch größere Ökosysteme sind betroffen: Die Angriffe auf LiteLLM, TanStack und Mistral AI in diesem Jahr zeigen, dass KI-Abhängigkeiten genauso exponiert sind wie herkömmliche Binärdateien – autonome Agenten vergrößern den Schaden in Maschinengeschwindigkeit.
Was haben die Vorfälle gemeinsam? Sie alle haben eine Signaturprüfung übersprungen. Diese sucht nach bekannten bösartigen Hashes. Eine neu erzeugte, bösartige Skill-Datei hat keinen Eintrag auf der Liste und geht unerkannt durch. Ein wirksamer Schutz muss verstehen, was ein KI-Asset dem Agenten befiehlt, statt nur nach bekannten Datei-Hashes zu suchen.
Aus Sicht von Sicherheits- und Plattformverantwortlichen klafft hier eine dreifache Lücke. Es fehlt eine zentrale Quelle der Wahrheit für freigegebene KI-Assets. Es gibt keine Sichtbarkeit darüber, welche Skills, Plugins oder MCP-Server Agenten tatsächlich verwenden. Und die bisherigen Sicherheits-Gates aus CI/CD-Pipelines sind für statische Binärdateien gebaut – gegenüber diesen neuen ausführbaren Assets sind sie blind.
Der JFrog AI Catalog: Ein Zuhause für jedes KI-Artefakt
JFrog hat den Catalog erweitert. Die Idee: Jedes ausführbare KI-Asset bekommt einen festen Ort, an dem es versioniert, gescannt und signiert wird – in derselben Artifactory-Umgebung, in der auch die Binärdateien liegen. Dadurch wird der Agentenbestand geimpft: Der Agent bekommt nur die Assets, die explizit gebilligt wurden.
Für MCP-Server gibt es eine eigene Registry. Dort wird festgelegt, welche Server für ein Projekt erlaubt sind, welche Tool-Aufrufe eingeschränkt sind, und lokale MCP-Pakete können gescannt werden, bevor ein Agent sie nutzt. Die Skills-Registry verwaltet die paketierten Verhaltensweisen. Jeder Skill muss signiert, verifiziert und gescannt sein, bevor ein Agent ihn starten darf. Ähnlich funktioniert die Plugin-Registry, die sicherstellt, dass nur geprüfte Plugin-Bündel geladen werden.
Ein weiterer Baustein sind Agent Packages – Pakete, die den gesamten Kontext und den Abhängigkeitsbaum eines Agenten als ein einziges versionierbares Artefakt bündeln und dem Open-Source-APM-Standard entsprechen. Die Registries allein sind nur die eine Hälfte. Die andere Hälfte ist der neue semantische Scan: Er analysiert, was ein Asset dem Agenten vorschreibt, statt nur nach bekannten Viren zu suchen. Dazu kommt Shadow-AI-Erkennung, die KI-Assets in der Umgebung automatisch als verwaltet, unverwaltet, teilweise verwaltet oder bösartig kategorisiert.
So wird jedes Asset vor dem Eintritt geprüft und bleibt nach dem Eintritt sichtbar. Was noch fehlt, ist die Durchsetzung am Ort des Geschehens – eine Freigabe in der Registry bedeutet noch nicht, dass der Agent sich daran hält.
Agent Guard: Richtlinien zur Laufzeit durchsetzen
JFrog liefert offizielle Plugins für Coding-Agenten wie Claude Code, Cursor, VS Code, OpenCode und Codex. Diese Plugins bringen die Richtlinien des Unternehmens direkt in die Umgebung des Agenten. Versucht der Agent, einen Skill, ein Plugin oder einen MCP-Server zu installieren, prüft das Plugin vorher die Freigabe – nur Assets mit bestandener Sicherheitsprüfung werden ausgeführt.
Den Kern dieser Durchsetzung bildet Agent Guard. Dieses Modul prüft zur Laufzeit jeden Aufruf eines MCP-Tools oder Skills gegen die Unternehmensrichtlinien – unabhängig davon, welchen Agent-Harness oder welches Coding-Umfeld die Entwickler verwenden. Die Kontrolle, die an der Quelle gesetzt wurde, reist bis zum Punkt der Nutzung mit. JFrog nennt das durchgängige Immunisierung: Registry, Scan-Gate und Laufzeitprüfung arbeiten als eine Schicht.
Genau diese Kombination unterscheidet den AI Catalog von einem reinen Artefakt-Repository. Er wird zur zentralen Steuerinstanz der KI-Governance. Wird ein neuer Agent eingeführt oder ein Modell ersetzt, muss die Sicherheitsrichtlinie nicht neu erfunden werden – sie gilt überall.
Ein System of Record statt paralleler Supply Chains
Auf dem Markt gibt es viele Anbieter für KI-Governance und KI-Sicherheit. Die meisten dieser Lösungen laufen parallel zur bestehenden Software-Lieferkette: ein separates Registry, ein separates Gateway, eine separate Policy-Engine, ein separater Audit-Trail. Das bedeutet mindestens zwei Systeme, die bedient werden müssen, und im Compliance-Fall einen manuellen Abgleich, der Fehler produziert.
Der JFrog AI Catalog verwaltet Modelle, MCP-Server, Skills, Plugins und Agent-Pakete als erstklassige Artefakte direkt neben den Binaries. Ein RBAC-Modell, ein Audit-Trail. Die Quellen können vielfältig sein – Hugging Face, eigene feinabgestimmte Modelle oder ein externer Anbieter – und am Ausgang steht ein Coding-Agent der Wahl. Dass diese Kontrolle aus einer Umgebung kommt, die bereits alle bestehenden Artefakte hält, ist kein Zufall. Nur ein System, das heute schon für jede Binärdatei zuständig ist, kann auch die neuen KI-Bestandteile abdecken, ohne eine zweite Lieferkette neben der vertrauten aufzubauen.
Der Weg vom Modell-Register zur AI Control Plane ist damit ein Stück weit abgeschlossen. Ob der Ansatz in der Praxis hält, was er verspricht, muss sich noch zeigen. Die Logik dahinter überzeugt: Wenn der Agent Software herstellt, sollten die Bestandteile seiner Arbeit derselben Kontrolle unterliegen wie die Software, die er erzeugt. JFrog bietet dafür eine technische Basis an – ob es die passende ist, bleibt eine Entscheidung der eigenen Security-Strategie.
Quelle: jfrog.com
