AI-SPMund Lieferkette.
AI Security Posture Management prüft die Konfiguration von KI-Ressourcen, Model Scanning die Modelle selbst. Beides gehört zusammen: Ein sauber konfigurierter Endpunkt nützt wenig, wenn das geladene Modell manipuliert ist.
Wofür die Klasse gebraucht wird.
KI-Systeme bestehen aus Ressourcen, die klassische Konfigurationsprüfungen kaum kennen: Modell-Endpunkte, Vektordatenbanken, Trainingsdaten, Pipelines und Berechtigungen darauf. Dazu kommen Modelldateien aus öffentlichen Quellen; einige Formate können beim Laden Code ausführen. Die Werkzeugklasse erfasst diese Bestandteile, bewertet sie gegen Sollvorgaben und hält Herkunft, Lizenz und Integrität fest.
- Inventar von Modellen, Endpunkten, Pipelines und Wissensdatenquellen (AI-BOM)
- Erkennung von Fehlkonfigurationen wie offenen Endpunkten oder zu weiten Berechtigungen
- Abbildung von Datenpfaden zwischen Datenquelle, Modell und Anwendung
- Prüfung von Modelldateien auf unsichere Serialisierung und eingebetteten Code
- Verifikation von Herkunft, Signatur und Lizenz als Freigabe-Gate
Ressourcen und Modelle prüfen.
AI-SPM wird überwiegend als Erweiterung bestehender CNAPP- und Cloud-Posture-Plattformen angeboten (Wiz, Microsoft Defender for Cloud, Orca, Tenable, Zscaler); Wiz gehört seit dem Abschluss am 11.03.2026 zu Google, bleibt laut Google aber Multi-Cloud-fähig. Model Scanning und Lieferkettenprüfung kamen 2025 über Übernahmen in grosse Plattformen: Protect AI ging an Palo Alto Networks (abgeschlossen 22.07.2025) und ist heute Teil von Prisma AIRS; Robust Intelligence ging bereits 2024 an Cisco. Eigenständige Spezialisten wie HiddenLayer (Series B von 100 Mio. USD, September 2026) und Noma Security verbinden Modellprüfung mit Agenten-Inventar. Für Herkunft und Integrität stehen offene Bausteine wie ModelScan und das OpenSSF-Projekt Model Signing (Sigstore) zur Verfügung.
Inventar: Inventar und AI-BOM · Fehlkonfig.: Fehlkonfigurationen und Risiken · Datenpfade: Datenpfade und sensible Trainingsdaten · Modellscan: Prüfung von Modelldateien · Herkunft: Herkunft, Signatur, Lizenz. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Wiz AI-SPM (Wiz Cloud)
Wiz, Inc.
AI-BOM erfasst KI-Dienste, Modelle, Agenten, Frameworks und SDKs agentenlos über PaaS, SaaS-KI und Eigenentwicklungen.
Eingebaute Regeln für Fehlkonfigurationen (z. B. OpenAI, Amazon Bedrock), Erweiterung auf IaC-Scanning in der Pipeline.
Angriffspfade zu Modellen und Trainingsdaten über den Wiz Security Graph; DSPM für sensible Trainingsdaten.
Laut Google bleibt Wiz eigene Marke und unterstützt weiterhin AWS, Azure, GCP und OCI.
Verbindet KI-Inventar mit Identitäten, Netzexposition, Schwachstellen und Daten in einem Graphen.
Keine Prüfung von Modelldateien und keine Herkunfts- oder Lizenzprüfung als Fähigkeit belegt; Eigentümerwechsel zu Google.
Microsoft Defender for Cloud (AI security posture management, Defender CSPM)
Microsoft Corporation
Generative AI-BOM über Azure OpenAI, Azure AI Foundry, Azure Machine Learning, Amazon Bedrock und Google Vertex AI; Agenten-Inventar im Defender-Portal (Preview; ab 07/2026 Agent-365-Lizenz erforderlich).
Sicherheitsempfehlungen (z. B. Private Endpoints, Managed Identity) und Erkennung von IaC-Fehlkonfigurationen in DevOps.
Angriffspfadanalyse erkennt Datenexposition beim Grounding und Fine-Tuning, auch über Azure, AWS und GCP verteilt.
Teil des kostenpflichtigen Defender-CSPM-Plans; scannt Container-Images und Code-Repos auf Schwachstellen in KI-Bibliotheken.
Für Azure-Umgebungen nativ integriert, mit Multi-Cloud-Abdeckung der grossen KI-Dienste.
Keine Prüfung von Modelldateien auf Schadcode als Fähigkeit belegt; Abdeckung ausserhalb der genannten Dienste begrenzt.
Orca AI-SPM
Orca Security Ltd.
KI-Inventar und BOM für verwaltete und nicht verwaltete Modelle, inkl. Azure OpenAI, Bedrock, SageMaker, Vertex AI und 50+ KI-Pakete.
Prüft Konfiguration von Netz, Datenschutz, Zugriff und IAM der KI-Ressourcen.
Alarm bei sensiblen Daten in Modellen oder Trainingsdaten; erkennt offengelegte Schlüssel für KI-Dienste in Code-Repositories.
Nutzt dieselbe agentenlose SideScanning-Technik wie für übrige Cloud-Ressourcen.
Agentenlose Sicht auf KI-Ressourcen im selben Datenmodell wie die übrige Cloud.
Keine Modelldatei-Prüfung und keine Herkunfts-/Lizenzprüfung als Fähigkeit belegt.
Zscaler AI-SPM (AI Asset Management)
Zscaler, Inc.
Automatische Erkennung und Klassifizierung von KI-Diensten, Modellen und Datenbeständen in der Cloud.
Korreliert Risiken wie Data Poisoning, Fehlkonfigurationen, Datenexposition und Berechtigungen mit geführter Behebung.
Nativ mit der Zscaler-Data-Security-Plattform (DSPM) verbunden; Zuordnung sensibler Daten zu KI-Diensten.
Teil der Zscaler-Plattform; ergänzt AI Access Security und die am 03.11.2025 übernommene SPLX-Technologie.
Starke Verbindung von KI-Inventar und Datenklassifizierung.
Keine Modelldatei-Prüfung als Fähigkeit belegt; Detailtiefe der Fehlkonfigurationsregeln auf der Produktseite nicht beschrieben.
Tenable One AI Exposure und Tenable Cloud Security (AI-SPM)
Tenable, Inc.
Zeigt, wie Mitarbeitende und Agenten KI-Plattformen nutzen; AI-SPM in Tenable Cloud Security erfasst KI-Ressourcen in der Cloud.
Findet und behebt unsichere Einstellungen von KI-Plattformen, Agentenkonfigurationen und Drittintegrationen; setzt KI-Nutzungsrichtlinien durch.
KI-Risiken im Kontext von IT, Cloud, Identität und OT in Tenable One; DSPM und CIEM schützen Trainingsdaten und KI-Berechtigungen.
AI-SPM-Funktionen laut Tenable für alle Kunden von Tenable Cloud Security und Tenable One verfügbar.
Bewertet KI-Risiken im selben Exposure-Modell wie übrige Schwachstellen.
Keine Modelldatei- oder Lieferkettenprüfung belegt; AI Exposure fokussiert auf freigegebene Plattformen wie ChatGPT Enterprise und Copilot.
Prisma AIRS (AI Posture Management, AI Model Security)
Palo Alto Networks, Inc.
Entdeckt KI-Agenten, Apps und Modelle und deren Verbindungen; AI Posture Management deckt Trainings-/Inferenzdaten, Modellintegrität und Zugriffe ab.
Risikobasierte Richtlinien lassen nur vertrauenswürdige Modelle in die Produktion; Integration in CI/CD und MLOps per API.
Prüft über 35 Modellformate (PyTorch, ONNX, TensorFlow u. a.) auf über 25 Bedrohungskategorien; Scans auch aus Artifactory, GitLab und Cloud-Speicher.
Scans laufen in der eigenen Umgebung; Prüfergebnisse werden für Audit und Compliance protokolliert.
Vereint Posture, Modellprüfung und Lieferkettenvalidierung mit Laufzeitschutz in einer Plattform.
Funktionsumfang und Lizenzierung (u. a. tokenbasiert) je Modul unterschiedlich; enge Bindung an das Palo-Alto-Ökosystem.
Cisco AI Defense (AI Cloud Visibility, AI Supply Chain Risk Management)
Cisco Systems, Inc.
Entdeckt Modelle und Agenten in Amazon Bedrock, Google Vertex und Azure AI Foundry sowie MCP-Server; Inventar mit verbundenen Datenquellen.
Erkennt Fehlkonfigurationen und Schwachstellen; identifiziert und markiert riskante Lieferketten-Komponenten.
Scannt Modelldateien, Repositories und MCP-Server auf Schadverhalten und Backdoors; Mapping auf Cisco AI Security Taxonomy (OWASP, MITRE, NIST).
Bei VPC- und AI-POD-Betrieb bleiben Anwendungs-, Modell- und Agentendaten laut Cisco in der Kundenumgebung.
Deckt Inventar, Modellvalidierung und Laufzeitschutz ab, mit On-Premises-Option.
Lizenz- und Herkunftsprüfung von Modellen nicht ausdrücklich belegt; EU-Datenresidenz auf der Datenblattseite nicht beschrieben.
HiddenLayer AI Security Platform (AI Discovery, AI Supply Chain Security)
HiddenLayer, Inc.
Scannt Cloud-Konten, Repositories, Endpoints und Pipelines auf Modelle und zugehörige Agenten und baut ein laufendes Inventar.
Modellscan erkennt bösartige Modelle, Backdoors in Gewichten und verwundbare Abhängigkeiten vor dem Deployment.
AI-BOM aus Modelldateien und Metadaten; «Model Genealogy» zeigt Herkunft, Ursprungsland und Lizenzen.
Keine Trainingsdaten nötig; Air-Gapped-Plattform für klassifizierte oder stark regulierte Umgebungen angeboten.
Tiefe Modellprüfung mit Herkunfts- und Lizenzsicht.
Cloud-Fehlkonfigurationen und Datenpfade nicht als Fähigkeit belegt; Ergänzung durch CNAPP/DSPM nötig.
Noma AI-SPM und AI Supply Chain Security
Noma Security, Inc.
Findet Agenten, Modelle, MCP-Server und Tools über Cloud, SaaS und Entwicklungsumgebungen.
Erkennt Fehlkonfigurationen wie übermässige Autonomie, fehlende Sandbox oder Secrets in Agenten-Instruktionen; Freigabe-Register für KI-Komponenten.
Scannt Modelle aus offenen Registries, verfolgt deren Herkunft und wirkt als Sicherheitsproxy für Hugging Face; über 80 Konnektoren.
SaaS oder On-Premises, damit Modelle, Trainingsdaten und Sicherheitsereignisse in der eigenen Umgebung bleiben können.
Verbindet Agenten-Inventar, Datenzugriffe und Modell-Lieferkette in einer Sicht.
Lizenzprüfung von Modellen nicht ausdrücklich belegt; junges Unternehmen mit schnell wechselndem Funktionsumfang.
JFrog AI Catalog mit Xray (ML-Modelle)
JFrog Ltd.
AI Catalog inventarisiert genutzte Modelle und externe KI-API-Aufrufe (z. B. OpenAI, Gemini, Anthropic).
Richtlinien blockieren nicht konforme oder bösartige Modelle und externe APIs vor der Nutzung; richtlinienbasierte Freigabe.
Xray erkennt bösartige Hugging-Face-Modelle und deren Lizenzen; erkennt Modelle in Artifactory-Repos und Docker-Images.
Teil der JFrog-Plattform (SaaS oder Self-Managed); vollständige Malware- und Lizenzanalyse nur für Hugging-Face-Modelle.
Setzt am Artefakt-Repository an, über das Modelle ohnehin in die Organisation gelangen.
Generische Modellformate nur mit Format-/SBOM-Sicht, ohne Schadcodeprüfung; keine Cloud-Posture-Funktionen.
ModelScan
Protect AI (Palo Alto Networks)
Sucht in Modelldateien nach unsicheren Code-Signaturen, ohne das Modell zu laden; Einstufung CRITICAL bis LOW.
Liefert Befunde, die in CI/CD als Sperrkriterium genutzt werden können; keine eigene Richtliniendurchsetzung.
Unterstützt H5, Pickle (inkl. Cloudpickle, Dill, Joblib), SavedModel und Keras V3.
Lokal ausführbar, keine Daten verlassen die Umgebung.
Kostenloser Einstieg in die Prüfung von Serialisierungsrisiken.
Begrenzte Formatabdeckung und kein Release-Stand auf der Projektseite ersichtlich; Weiterentwicklung nach der Übernahme offen.
Model Signing (model-transparency, CLI model_signing)
OpenSSF / Sigstore (Community-Projekt)
Verifikation prüft die Signatur und berechnet die Datei-Hashes des Modells neu.
Signieren und Verifizieren per CLI; abweichende Modelle fallen bei der Verifikation durch.
Signatur über Sigstore (ohne eigenes Schlüsselmanagement, mit Transparenzlog) oder mit Schlüsseln, Zertifikaten und PKCS#11.
Lokal ausführbar; mit Sigstore werden Signaturereignisse in einem öffentlichen Append-only-Log verzeichnet.
Offener Standardbaustein für Integrität und Herkunft von Modellen.
Prüft nur Integrität und Signatur, nicht den Inhalt auf Schadcode; Nutzen hängt von der Signaturpraxis der Modellanbieter ab.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- CrowdStrike Falcon Cloud Security (AI-SPM): AI-SPM als Teil der CNAPP von CrowdStrike
- SentinelOne AI-SPM: auf der Plattformseite als Modul genannt (Pipelines, Modelle, Managed Services), ohne eigene Detailseite
- Check Point AI Defense Plane (Cyata): Agenten-Discovery und -Governance; Schwerpunkt Laufzeit, unter Runtime aufgeführt
- picklescan (Open Source): schmaler Scanner nur für Pickle-Dateien; als Ergänzung zu ModelScan denkbar
- Snyk (Agent-Scan / Invariant Labs): Prüfung von Agenten und MCP-Konfigurationen in der Entwicklung; Schwerpunkt AppSec
- Cisco AI Defense MCP Scanner (Open Source): Teilfunktion; Cisco AI Defense ist als Ganzes aufgenommen
Mit der eigenen Umgebung testen.
Ein Pilot gehört in die reale Cloud- und MLOps-Umgebung, nicht in eine Demo. Geprüft wird, ob das Inventar vollständig ist, ob Befunde zu den eigenen Konfigurationsstandards passen und ob ein bewusst unsicheres Testmodell vor dem Laden gestoppt wird.
- Welche KI-Plattformen, Clouds und MLOps-Umgebungen werden tatsächlich abgedeckt?
- Werden Datenpfade sichtbar, nicht nur einzelne Ressourcen?
- Welche Modellformate werden geprüft, und funktioniert der Scan auch für lokal betriebene Modelle?
- Lässt sich ein Freigabe-Gate in Repository und Pipeline einbauen?
- Wie werden Befunde mit CSPM-, DSPM- und SBOM-Ergebnissen zusammengeführt?
Kontrollen, Prozesse und Regulierung zu dieser Klasse stehen im Themenbereich AI Security: Architektur-Referenz, Lieferanten und Modelle, Lebenszyklus-Kontrollen, Inventar und Klassifizierung.
Das Stücklistenformat CycloneDX beschreibt seit Version 1.5 Machine-Learning-Modelle (ML-BOM). Lieferkettenrisiken sind im OWASP Top 10 for LLM Applications als eigene Kategorie geführt.
Security Tool Navigator · Gebiet 15
Im KI-Zusammenhang entscheiden.
Diese Werkzeugklasse ist Teil der AI-Security-Werkzeuge. Der Gebietshub ordnet die 5 Klassen ein und zeigt die Abgrenzung zu den benachbarten Werkzeugklassen.