ai_regulation
KI-Lieferkettensicherheit: Googles k8s-aibom automatisiert ML-BOMs für Kubernetes
Anfang Juli 2026 hat Google Cloud das quelloffene Tool k8s-aibom vorgestellt, wie der Konzern in seinem Sicherheitsblog bekannt gab. Der neuartige Kubernetes-Controller erkennt vollautomatisch KI-Workloads in laufenden Clustern und generiert daraus standardisierte Machine Learning Bills of Materials (ML-BOMs) im CycloneDX-1.6-Format. Damit schließt Google eine zentrale Lücke in der KI-Lieferkettensicherheit, die Sicherheitsverantwortlichen in vielen Betrieben zunehmend Kopfzerbrechen bereitet.
Hintergrund dieser Entwicklung ist das rasant wachsende Phänomen der Schatten-KI. Entwicklerteams setzen zunehmend eigene KI-Workloads auf – von Serving-Runtimes wie vLLM oder Triton über Agent-Frameworks wie LangChain und AutoGen bis hin zu Vektordatenbanken wie Milvus –, ohne dass diese formal bei der IT-Sicherheit registriert werden. Herkömmliche Scanner bleiben hier oft blind, weil sie privilegierte DaemonSets, Kernel-Zugriffe oder manuelle Pod-Spezifikationen erfordern, was den Entwicklungsfluss bremst und die Clusterstabilität gefährdet. k8s-aibom umgeht dieses Dilemma durch einen unprivilegierten Bereitstellungsansatz: kein Sidecar-Injection, keine eBPF-Kernelmodule, keine Änderungen an bestehenden Pod-Spezifikationen. Der Controller beobachtet kontinuierlich die Kubernetes-API und Container-Umgebungen, identifiziert KI-Stacks per Mustererkennung und exportiert die ML-BOMs direkt in Cloud Storage Buckets oder an externe Webhook-Endpunkte.
Ein besonderes Merkmal ist das deterministische Confidence Model, das erkannte Assets in drei Stufen klassifiziert: „Declared“ (explizit vom Entwickler deklariert, etwa ein Modell wie Meta-Llama/Llama-2-7b), „Inferred“ (autonom vom Controller ermittelt) und „Unresolved“ (aktive KI-Präsenz erkannt, aber Modellparameter nicht bestimmbar). Diese Taxonomie erlaubt Compliance-Prüfern, klare Entwicklerabsicht von maschineller Inferenz zu unterscheiden – eine unverzichtbare Grundlage für revisionssichere Audit-Trails. Zudem setzt k8s-aibom auf kryptografische Unveränderlichkeit: Einmal in Google Cloud Storage geschriebene ML-BOM-Objekte können durch DoesNotExist-Vorbedingungen nicht überschrieben oder nachträglich manipuliert werden.
Was bedeutet das konkret für Ihren Betrieb?
Wenn in Ihrem Unternehmen Kubernetes-Cluster für KI-Entwicklung genutzt werden, ist die Wahrscheinlichkeit hoch, dass bereits heute unregistrierte KI-Workloads laufen. Diese entziehen sich nicht nur der Sicherheitsüberwachung, sondern gefährden auch die Einhaltung regulatorischer Rahmenwerke. k8s-aibom liefert hier eine automatisierte Bestandsaufnahme ohne Eingriff in laufende Entwicklungsprozesse. Die erzeugten ML-BOMs bilden die empirische Basis für Nachweise nach Artikel 12 (automatisierte Protokollierung) und Artikel 50 (Transparenzpflichten) des EU AI Act, unterstützen die Asset-Erfassung im NIST AI Risk Management Framework und erleichtern die Inventarvalidierung nach ISO/IEC 42001. Laut Computerwoche ist gerade die unkontrollierte Nutzung von KI-Tools der größte Risikofaktor für Datenabflüsse in externe Trainingsdaten.
Die Kombination aus automatisierter Erkennung, standardisierten Austauschformaten und manipulationssicheren Audit-Logs macht k8s-aibom zu einem Baustein, der den Sprung von KI-Pilotprojekten in den regulierten Produktivbetrieb absichert. Mittelfristig dürften solche Werkzeuge zum festen Bestandteil jeder Zero-Trust-Architektur für KI-Umgebungen werden – nicht nur in Cloud-nativen Infrastrukturen, sondern auch in hybriden Umgebungen, die zunehmend unter den Anwendungsbereich des EU AI Act fallen.
Hintergrund dieser Entwicklung ist das rasant wachsende Phänomen der Schatten-KI. Entwicklerteams setzen zunehmend eigene KI-Workloads auf – von Serving-Runtimes wie vLLM oder Triton über Agent-Frameworks wie LangChain und AutoGen bis hin zu Vektordatenbanken wie Milvus –, ohne dass diese formal bei der IT-Sicherheit registriert werden. Herkömmliche Scanner bleiben hier oft blind, weil sie privilegierte DaemonSets, Kernel-Zugriffe oder manuelle Pod-Spezifikationen erfordern, was den Entwicklungsfluss bremst und die Clusterstabilität gefährdet. k8s-aibom umgeht dieses Dilemma durch einen unprivilegierten Bereitstellungsansatz: kein Sidecar-Injection, keine eBPF-Kernelmodule, keine Änderungen an bestehenden Pod-Spezifikationen. Der Controller beobachtet kontinuierlich die Kubernetes-API und Container-Umgebungen, identifiziert KI-Stacks per Mustererkennung und exportiert die ML-BOMs direkt in Cloud Storage Buckets oder an externe Webhook-Endpunkte.
Ein besonderes Merkmal ist das deterministische Confidence Model, das erkannte Assets in drei Stufen klassifiziert: „Declared“ (explizit vom Entwickler deklariert, etwa ein Modell wie Meta-Llama/Llama-2-7b), „Inferred“ (autonom vom Controller ermittelt) und „Unresolved“ (aktive KI-Präsenz erkannt, aber Modellparameter nicht bestimmbar). Diese Taxonomie erlaubt Compliance-Prüfern, klare Entwicklerabsicht von maschineller Inferenz zu unterscheiden – eine unverzichtbare Grundlage für revisionssichere Audit-Trails. Zudem setzt k8s-aibom auf kryptografische Unveränderlichkeit: Einmal in Google Cloud Storage geschriebene ML-BOM-Objekte können durch DoesNotExist-Vorbedingungen nicht überschrieben oder nachträglich manipuliert werden.
Was bedeutet das konkret für Ihren Betrieb?
Wenn in Ihrem Unternehmen Kubernetes-Cluster für KI-Entwicklung genutzt werden, ist die Wahrscheinlichkeit hoch, dass bereits heute unregistrierte KI-Workloads laufen. Diese entziehen sich nicht nur der Sicherheitsüberwachung, sondern gefährden auch die Einhaltung regulatorischer Rahmenwerke. k8s-aibom liefert hier eine automatisierte Bestandsaufnahme ohne Eingriff in laufende Entwicklungsprozesse. Die erzeugten ML-BOMs bilden die empirische Basis für Nachweise nach Artikel 12 (automatisierte Protokollierung) und Artikel 50 (Transparenzpflichten) des EU AI Act, unterstützen die Asset-Erfassung im NIST AI Risk Management Framework und erleichtern die Inventarvalidierung nach ISO/IEC 42001. Laut Computerwoche ist gerade die unkontrollierte Nutzung von KI-Tools der größte Risikofaktor für Datenabflüsse in externe Trainingsdaten.
Die Kombination aus automatisierter Erkennung, standardisierten Austauschformaten und manipulationssicheren Audit-Logs macht k8s-aibom zu einem Baustein, der den Sprung von KI-Pilotprojekten in den regulierten Produktivbetrieb absichert. Mittelfristig dürften solche Werkzeuge zum festen Bestandteil jeder Zero-Trust-Architektur für KI-Umgebungen werden – nicht nur in Cloud-nativen Infrastrukturen, sondern auch in hybriden Umgebungen, die zunehmend unter den Anwendungsbereich des EU AI Act fallen.
💡 Handlungsempfehlung: Führen Sie noch diese Woche einen Abgleich Ihrer Kubernetes-Workloads mit der von k8s-aibom unterstützten KI-Stack-Erkennung durch und identifizieren Sie unregistrierte vLLM-, Triton- oder LangChain-Instanzen, die ohne ML-BOM-Dokumentation laufen.
Haeufige Fragen
Was ist Schatten-KI und wie kann ich sie in meinem Unternehmen erkennen?
Schatten-KI bezeichnet KI-Workloads, die Entwickler ohne formale Registrierung in Kubernetes-Clustern betreiben. Das Open-Source-Tool k8s-aibom von Google erkennt sie automatisch, indem es Container-Images, Umgebungsvariablen und Kommandozeilenargumente auf KI-Runtimes wie vLLM, Triton oder LangChain analysiert.
Wie hilft k8s-aibom bei der Einhaltung des EU AI Act?
k8s-aibom erstellt automatisch standardisierte ML-BOMs im CycloneDX-Format, die als Nachweis für Artikel 12 (automatisierte Protokollierung) und Artikel 50 (Transparenzpflichten) des EU AI Act dienen. Die erzeugten Audit-Logs sind kryptografisch unveränderlich und revisionssicher.