Quellenbasierte Software-Lieferketten

Der Abhängigkeitsatlas für öffentlichen KI-Code

Name: KI-Abhängigkeitsatlas der Verwaltung | i6eal
Creator: i6eal
License: https://creativecommons.org/licenses/by/4.0/

Sieh, welche exakten Paketversionen den veröffentlichten KI-Code der deutschen Verwaltung tragen – und wo Konzentration, Lizenzdaten, Versionsalter und OSV-Meldungen tatsächlich prüfbar sind.

Lockfiles und SBOMsnur exakte Versionendeps.dev und OSVkeine generative KI

01KI-Code-Evidenzrepository@commit

02Lockfile oder SBOMblob_sha + file_path

03Aufgelöste Paketversionecosystem:name@version

04Metadaten und OSV-Meldungchecked_at + source_id

Datenstand 30. September 2026Beobachtet seit 18. Juli 202643 Repositories in der exakten Kohorte

Die Prüfgrenze

Eine OSV-Meldung belegt keine Ausnutzbarkeit.

Der Atlas sendet ausschließlich beobachtete, exakt aufgelöste Paketversionen an OSV. Ein Treffer belegt weder Erreichbarkeit noch produktiven Einsatz; keine zurückgegebene Meldung bedeutet nicht, dass ein Paket sicher ist.

nur aufgelöstes paket@version

Exaktes Lieferketten-Lagebild

Was trägt den veröffentlichten KI-Stack der Verwaltung?

Die Kohorte beginnt bei Repositories mit exakter KI-Code-Evidenz. Lockfiles, SBOMs und exakte Pins machen Paketidentitäten sichtbar, ohne Versionsbereiche durch geratene Versionen zu ersetzen.

40Repositories mit aufgelöster Evidenz

4.104geprüfte exakte Paketversionen

822aktuelle OSV-Meldungen

Von KI-Code-Evidenz zur prüfbaren Version

Jede Stufe behält ihren eigenen Nenner. Ein fehlendes Lockfile in einem unvollständigen Baum bleibt nicht prüfbar – nicht null.

0143
Code-Radar-Kohorte
0240
mit aufgelösten Komponenten
0326
davon über Lockfile oder SBOM, die übrigen über exakte Pins
044.104
an OSV gesendete exakte Versionen

Am weitesten verbreitete KI-Pakete

Repository-Präsenz innerhalb der exakten Kohorte aus 43 Repositories; gezählt wird jedes Repository, das ein Paket direkt oder indirekt einbindet. Das ist kein Marktanteil.

Provider-Schnittstellen im veröffentlichten Code

Ein Schnittstellenpaket kann einen Provider ermöglichen; es belegt weder Konto, Konfiguration, Beschaffung noch API-Aufruf. Die Zahl zählt Repositories, die eines der Pakete direkt einbinden; die Paketliste zählt auch indirekte Einbindung.

OpenAI3 Pakete
8
Ollama1 Paket
4
Hugging Face3 Pakete
2

Gemeldete Lizenzausdrücke

Die Ausdrücke stammen aus Paketmetadaten. Daraus wird keine Kompatibilität oder rechtliche Bewertung abgeleitet.

MIT1.606
Apache-2.0273
non-standard232
BSD-3-Clause122
ISC102
BSD-2-Clause42
MPL-2.018
Apache-2.0 AND MIT10

Quellen und Zitation

Für reproduzierbare, zeitgebundene Aussagen gebaut

Jedes Ergebnis bewahrt öffentliches Repository, unveränderlichen Commit und Evidenzdatei. Paketmetadaten und OSV-Antworten werden getrennt erfasst – mit eigenem Abrufzeitpunkt und eigener Aussagegrenze.

i6eal (2026): KI-Abhängigkeitsatlas der Verwaltung – 43 Repositories, 4.104 geprüfte exakte npm-/PyPI-Paketversionen und 822 zurückgegebene OSV-Meldungen, Datenstand 30. September 2026. https://i6eal.de/tools/ki-abhaengigkeitsatlas/

Klar erklärt

Belegt eine OSV-Meldung, dass ein Repository verwundbar ist?

Nein. Sie zeigt, dass OSV zum Erhebungszeitpunkt eine öffentliche Meldung einer exakt beobachteten Paketversion zugeordnet hat. Erreichbarkeit, Ausnutzbarkeit, Betrieb und Schutzmaßnahmen werden damit nicht belegt.

Was bedeutet keine zurückgegebene OSV-Meldung?

Nur, dass die OSV-API zu diesem Zeitpunkt keine passende öffentliche Meldung für die übermittelte exakte Version zurückgegeben hat. Das ist keine Aussage, dass das Paket sicher ist.

Wie behandelt der Atlas Versionsbereiche?

Er löst sie nie durch eine Annahme auf. Eine Version wird nur geprüft, wenn ein Lockfile, eine SBOM oder ein exakter Doppelgleich-Pin sie veröffentlicht. Der Collector setzt nie das neueste Release ein.

Messen die Lizenzfelder Portabilität?

Nein. Der Atlas zeigt SPDX-Ausdrücke aus Paketmetadaten und fehlende Abdeckung. Er leitet weder Kompatibilität, Pflichten, Migrationsaufwand noch rechtliche Bewertungen ab.

Belegt ein Provider-SDK die Nutzung des Providers?

Nein. Ein direktes Schnittstellenpaket ist nur ein Signal im veröffentlichten Code. Es belegt weder Konfiguration, Konto, Beschaffung, Datentransfer noch API-Aufruf.

Verwendet der Collector generative KI?

Nein. Dateisuche, Parsing, Paketnormalisierung, Providerregeln und Veröffentlichung sind deterministisch und begrenzt.

Du brauchst einen prüfbaren Software-Lieferkettendatensatz für dein Themenfeld?

Wir bauen Public-Interest-Intelligence mit exakten Identitäten, sichtbaren Fehlstellen und Quellpfaden, die überprüfbar bleiben.

Datenprojekt besprechen KI-Code-Radar ansehen

Das passt dazu

Nächste sinnvolle Schritte

Diese Tools passen thematisch dazu.

Alle Tools ansehen

MonitorKI-Code-Radar der VerwaltungWelche KI-Bausteine veröffentlicht die deutsche Verwaltung als offenen Code? Exakte Pakete, Container, Commit-SHAs und Dateipfade aus openCode – mit dauerhaften Dossiers und ohne Aussage über den Betrieb.MonitorKI-VerwaltungsradarWo setzt die deutsche Verwaltung bereits KI ein? Durchsuch veröffentlichte Systemprofile aus Bund, Ländern und Kommunen – mit Lebenszyklus, Governance-Feldern, stabiler Kennung und Originalbeleg.Provenienz-CheckKI-Systempass der VerwaltungSieh für jedes veröffentlichte Verwaltungs-KI-System, welche öffentlichen Daten sich über stabile Kennungen oder exakt angegebene Repository-URLs verbinden lassen – mit Quellen pro Kante und sichtbaren Beleggrenzen.