i6eal.de
DEEN
Projekt starten
Quellenbasierte Software-Lieferketten

Der Abhängigkeitsatlas für öffentlichen KI-Code

Sieh, welche exakten Paketversionen den veröffentlichten KI-Code der deutschen Verwaltung tragen – und wo Konzentration, Lizenzdaten, Versionsalter und OSV-Meldungen tatsächlich prüfbar sind.

Lockfiles und SBOMsnur exakte Versionendeps.dev und OSVkeine generative KI
Datenstand 15. November 2026Beobachtet seit 18. Juli 202649 Repositories in der exakten Kohorte
Die Prüfgrenze

Eine OSV-Meldung belegt keine Ausnutzbarkeit.

Der Atlas sendet ausschließlich beobachtete, exakt aufgelöste Paketversionen an OSV. Ein Treffer belegt weder Erreichbarkeit noch produktiven Einsatz; keine zurückgegebene Meldung bedeutet nicht, dass ein Paket sicher ist.

nur aufgelöstes paket@version
Exaktes Lieferketten-Lagebild

Was trägt den veröffentlichten KI-Stack der Verwaltung?

Die Kohorte beginnt bei Repositories mit exakter KI-Code-Evidenz. Lockfiles, SBOMs und exakte Pins machen Paketidentitäten sichtbar, ohne Versionsbereiche durch geratene Versionen zu ersetzen.

45Repositories mit aufgelöster Evidenz
5.086geprüfte exakte Paketversionen
1.120aktuelle OSV-Meldungen

Von KI-Code-Evidenz zur prüfbaren Version

Jede Stufe behält ihren eigenen Nenner. Ein fehlendes Lockfile in einem unvollständigen Baum bleibt nicht prüfbar – nicht null.

  1. 0149

    Code-Radar-Kohorte

  2. 0245

    mit aufgelösten Komponenten

  3. 0333

    davon über Lockfile oder SBOM, die übrigen über exakte Pins

  4. 045.086

    an OSV gesendete exakte Versionen

Am weitesten verbreitete KI-Pakete

Repository-Präsenz innerhalb der exakten Kohorte aus 49 Repositories; gezählt wird jedes Repository, das ein Paket direkt oder indirekt einbindet. Das ist kein Marktanteil.

  1. OpenAI SDK25
  2. scikit-learn21
  3. PyTorch17
  4. Hugging Face Tokenizers15
  5. tiktoken15
  6. Transformers13
  7. OpenCV9
  8. LangChain Core7
  9. LangGraph7
  10. LangChain7

Provider-Schnittstellen im veröffentlichten Code

Ein Schnittstellenpaket kann einen Provider ermöglichen; es belegt weder Konto, Konfiguration, Beschaffung noch API-Aufruf. Die Zahl zählt Repositories, die eines der Pakete direkt einbinden; die Paketliste zählt auch indirekte Einbindung.

  1. OpenAI3 Pakete
    9
  2. Ollama1 Paket
    4
  3. Hugging Face3 Pakete
    3

Gemeldete Lizenzausdrücke

Die Ausdrücke stammen aus Paketmetadaten. Daraus wird keine Kompatibilität oder rechtliche Bewertung abgeleitet.

  1. MIT1.949
  2. Apache-2.0339
  3. BSD-3-Clause162
  4. non-standard148
  5. ISC112
  6. BSD-2-Clause51
  7. MPL-2.023
  8. LGPL-3.0-or-later11
Quellen und Zitation

Für reproduzierbare, zeitgebundene Aussagen gebaut

Jedes Ergebnis bewahrt öffentliches Repository, unveränderlichen Commit und Evidenzdatei. Paketmetadaten und OSV-Antworten werden getrennt erfasst – mit eigenem Abrufzeitpunkt und eigener Aussagegrenze.

i6eal (2026): KI-Abhängigkeitsatlas der Verwaltung – 49 Repositories, 5.086 geprüfte exakte npm-/PyPI-Paketversionen und 1.120 zurückgegebene OSV-Meldungen, Datenstand 15. November 2026. https://i6eal.de/tools/ki-abhaengigkeitsatlas/

Klar erklärt

Belegt eine OSV-Meldung, dass ein Repository verwundbar ist?
Nein. Sie zeigt, dass OSV zum Erhebungszeitpunkt eine öffentliche Meldung einer exakt beobachteten Paketversion zugeordnet hat. Erreichbarkeit, Ausnutzbarkeit, Betrieb und Schutzmaßnahmen werden damit nicht belegt.
Was bedeutet keine zurückgegebene OSV-Meldung?
Nur, dass die OSV-API zu diesem Zeitpunkt keine passende öffentliche Meldung für die übermittelte exakte Version zurückgegeben hat. Das ist keine Aussage, dass das Paket sicher ist.
Wie behandelt der Atlas Versionsbereiche?
Er löst sie nie durch eine Annahme auf. Eine Version wird nur geprüft, wenn ein Lockfile, eine SBOM oder ein exakter Doppelgleich-Pin sie veröffentlicht. Der Collector setzt nie das neueste Release ein.
Messen die Lizenzfelder Portabilität?
Nein. Der Atlas zeigt SPDX-Ausdrücke aus Paketmetadaten und fehlende Abdeckung. Er leitet weder Kompatibilität, Pflichten, Migrationsaufwand noch rechtliche Bewertungen ab.
Belegt ein Provider-SDK die Nutzung des Providers?
Nein. Ein direktes Schnittstellenpaket ist nur ein Signal im veröffentlichten Code. Es belegt weder Konfiguration, Konto, Beschaffung, Datentransfer noch API-Aufruf.
Verwendet der Collector generative KI?
Nein. Dateisuche, Parsing, Paketnormalisierung, Providerregeln und Veröffentlichung sind deterministisch und begrenzt.

Du brauchst einen prüfbaren Software-Lieferkettendatensatz für dein Themenfeld?

Wir bauen Public-Interest-Intelligence mit exakten Identitäten, sichtbaren Fehlstellen und Quellpfaden, die überprüfbar bleiben.

Datenprojekt besprechenKI-Code-Radar ansehen
Das passt dazu

Nächste sinnvolle Schritte

Diese Tools passen thematisch dazu.

Alle Tools ansehen
MonitorKI-Code-Radar der VerwaltungWelche KI-Bausteine veröffentlicht die deutsche Verwaltung als offenen Code? Exakte Pakete, Container, Commit-SHAs und Dateipfade aus openCode – mit dauerhaften Dossiers und ohne Aussage über den Betrieb.MonitorKI-VerwaltungsradarWo setzt die deutsche Verwaltung bereits KI ein? Durchsuch veröffentlichte Systemprofile aus Bund, Ländern und Kommunen – mit Lebenszyklus, Governance-Feldern, stabiler Kennung und Originalbeleg.Provenienz-CheckKI-Systempass der VerwaltungSieh für jedes veröffentlichte Verwaltungs-KI-System, welche öffentlichen Daten sich über stabile Kennungen oder exakt angegebene Repository-URLs verbinden lassen – mit Quellen pro Kante und sichtbaren Beleggrenzen.