Chainguard Libraries unterstützt jetzt Go und .NET und liefert Zero-Day-Patches am Tag der Veröffentlichung

Zwei neue Sprachökosysteme

Chainguard, das sich selbst als vertrauenswürdige Quelle für Open Source beschreibt, erklärte, die neuen Angebote ermöglichten es Engineering-Teams und KI-Agenten, Go- und .NET-Abhängigkeiten zu beziehen, ohne dem nächsten Angriff auf die Lieferkette ausgesetzt zu sein.

Go: Chainguard Libraries für Go richtet sich an Entwicklungsteams für Cloud und Infrastruktur. Das Angebot bietet einen sicheren Endpunkt zum Beziehen von Go-Paketen, der laut Unternehmen die Gefahr durch schädliche Module begrenzt und die Zahl der CVEs verringert, die Teams beheben müssen. Enthalten ist ein integrierter Scan auf Malware und Greyware. Chainguard versteht darunter eine Klasse bösartiger Open-Source-Pakete, die herkömmliche Malware-Scanner übersehen. Teams können außerdem Richtlinien konfigurieren, um Pakete zu blockieren, die ihre Sicherheits- oder Compliance-Standards nicht erfüllen.

.NET: Chainguard Libraries für .NET zielt auf Organisationen, die im Microsoft- und Azure-Ökosystem entwickeln. Sie können NuGet durch einen von Chainguard verwalteten Endpunkt ersetzen, der standardmäßig sicher ist. Die .NET-Bibliotheken umfassen konfigurierbare Richtlinien sowie Scans auf Malware und Greyware.

CVE-Behebung und Zero-Day-Schutz

Chainguard Libraries bietet jetzt CVE-Behebung für JavaScript und Go. Die Funktion überträgt Upstream-Fixes für Schwachstellen mit kritischem und hohem Schweregrad per Backport und hilft damit Teams, die nicht immer sofort auf die nächste Version wechseln können. Chainguard weist darauf hin, dass Teams Abhängigkeiten aus Stabilitätsgründen oft auf bestimmte Versionen festlegen und sich in diesen Versionen mit der Zeit CVEs ansammeln. Laut Unternehmen ist die JavaScript-Funktion in denselben Endpunkt integriert, der in diesem Jahr jeden Malware-Angriff auf npm abgewehrt hat.

Bei Zero-Days enthalten Chainguard Libraries für Python und Java nun Artefakte, die gegen Schwachstellen behoben wurden, die von führenden KI-Modellen entdeckt wurden, und zwar am Tag ihrer öffentlichen Bekanntgabe. Der Schutz stützt sich auf die gemeinschaftlich gesammelten Bedrohungsinformationen von Athena, der Branchenallianz von Chainguard für die koordinierte Verteidigung von Open-Source-Software. Das Unternehmen erklärt, Kunden erhielten neuartige Patches für Zero-Days, die die größten Institutionen der Welt aufspüren, indem sie führende KI-Modelle auf ihre Anwendungen ansetzen.

Die Bedrohungslage aus Sicht von Chainguard

Chainguard argumentiert, KI habe langjährige Probleme bei Open-Source-Sprachbibliotheken verschärft, allen voran durch Malware. Das Unternehmen verweist auf seinen eigenen Bericht „AI Exploit Gap“, in dem 76 Prozent der Cybersicherheitsverantwortlichen angeben, dass ihre Organisation in den vergangenen zwölf Monaten einen KI-gestützten Angriff erlebt hat oder dies vermutet.

Angreifer veröffentlichten schädliche Pakete, kaperten vertrauenswürdige und registrierten Namen von Paketen, die noch gar nicht existieren, in der Erwartung, dass Entwickler und KI-Agenten sie ohne genaueres Hinsehen installieren, so das Unternehmen. Zudem ermögliche KI es mehr Menschen, schädliche Pakete zu bauen und zu veröffentlichen oder CVEs und neu entdeckte Zero-Days auszunutzen. Führende KI-Modelle deckten Zero-Days aus seiner Sicht schneller auf, als Open-Source-Maintainer sie beheben können.

„Angreifer setzen darauf, dass Ihre Entwickler und KI-Agenten jedem Paket vertrauen, das sie installieren“, sagte Patrick Donahue, SVP of Product bei Chainguard. „Prävention ist die einzige Verteidigung, die skaliert.“

Verfügbarkeit und Bedeutung für Kunden

Chainguard Libraries für Go und .NET sind im Early Access verfügbar. Interessierte Organisationen verweist das Unternehmen auf chainguard.dev/libraries. Preise oder einen Termin für die allgemeine Verfügbarkeit nennt die Quelle nicht.

Für Teams erweitert das Update die Zahl der Sprachen, die ein einzelner Anbieter bei der Absicherung von Abhängigkeiten abdeckt. Malware-Blockierung, CVE-Backports und Zero-Day-Fixes gibt es nun in unterschiedlichen Kombinationen für Go, .NET, JavaScript, Java und Python. Kevin Fuller, CISO des Chainguard-Kunden Propio, sagte, das Produkt habe das Unternehmen „vom Reagieren auf Angriffe auf die Lieferkette zum Verhindern“ gebracht. Dabei handelt es sich um Aussagen von Chainguard und einem seiner Kunden, unabhängige Tests enthält die Mitteilung nicht.