Wie KI-Coding-Tools Angriffe auf die Software-Lieferkette verstärken könnten

Was passiert ist

KI-Coding-Tools verändern, wie Entwickler Software beziehen und nutzen. Eine von Bloom Security aufgedeckte Schwachstelle zeigt, wie Schwächen in der Infrastruktur zur Veröffentlichung von Software mit diesen automatisierten Arbeitsabläufen zusammentreffen können.

Die von Bloom Security eingebrachte SlugFest-Forschung ergab, dass das Trusted Publishing von npm Vertrauen an den Namen eines Repositorys statt an dessen dauerhafte ID knüpfte. GitHub veröffentlichte eine Korrektur im Oktober 2, fast vier Monate nach dem Bericht. Ein Angriff auf die Software-Lieferkette (ein Angriff, der sein Ziel über Software erreicht, von der es abhängt) ist damit beschrieben.

Am Oktober 13, 2026 - 10:00 Uhr verändern KI-Coding-Tools, wie Entwickler Software beziehen und nutzen. Die Forschung mit dem Namen SlugFest identifizierte mehr als 1,500 npm-Pakete, die für einen Veröffentlichungsangriff anfällig sind, der GitHub-Repository-Adressen betrifft.

Doch das wachsende Volumen automatisierter Paketinstallationen stellt Sicherheitsteams in Unternehmen vor neue Herausforderungen. Zusammen hatten die Pakete mehr als 10 Millionen Downloads angesammelt. Bloom maß außerdem das Ausmaß der KI-gesteuerten Softwareinstallation in großen Unternehmen.