Japanische KI-Sicherheitsprodukte auswählen

Ein Team, das vor der Veröffentlichung eines SaaS-Angebots SQL-Injection-Schwachstellen reduzieren möchte, benötigt beispielsweise andere Produkte als ein Team, das täglich große Mengen an Sicherheitsmeldungen ordnen möchte. Im ersten Fall stehen Codeanalysen oder Sicherheitsprüfungen von Webanwendungen im Mittelpunkt, im zweiten die Unterstützung bei Überwachung und Untersuchung. Soll die generative KI selbst geschützt werden, ist das wiederum ein eigener Anwendungsfall: Hier muss der Umgang mit Prompts und externen Daten geprüft werden.

Um den Vergleich zu erleichtern, behandelt dieser Artikel Produkte und Dienstleistungen von Anbietern mit Hauptsitz in Japan. Das bedeutet nicht, dass auch die Komponenten und KI-Modelle in Japan entwickelt werden oder die Datenverarbeitung dort stattfindet. Die folgenden Beispiele dienen als Ausgangspunkt für die Auswahl und sind keine vollständige Übersicht aller Produkte.

Wenn Sie Code während der Entwicklung untersuchen möchten, bietet Hi AUDIT Agent von TECHFUND die Möglichkeit, aus einer über MCP angebundenen Entwicklungsumgebung eine Sicherheitsanalyse des Codes anzufordern. Ein denkbarer Ablauf ist, dass Entwickler die gemeldeten Stellen und Korrekturvorschläge prüfen und die Änderungen anschließend verifizieren.

Wenn Sie Code und laufende Anwendungen kontinuierlich prüfen möchten, bietet Takumi byGMO von GMO Flatt Security codebasierte Prüfungen, Blackbox-Prüfungen und Korrekturvorschläge. Auch regelmäßige Prüfungen von Änderungen auf GitHub werden angeboten. Teams, denen die Einbindung in den Entwicklungsablauf wichtig ist, sollten sich diese Möglichkeit daher näher ansehen.

Wenn Sie Webanwendungen von außen prüfen möchten, ist AeyeScan von Aeye Security Lab ein cloudbasiertes Werkzeug, das Sicherheitsprüfungen mithilfe von KI automatisiert. Ob es auch die erst nach der Anmeldung zugänglichen Seiten durchlaufen kann, sollten Sie mit der tatsächlichen Konfiguration und der jeweiligen Anwendung ausprobieren.

Wenn vertrauliche Daten das Unternehmen nicht verlassen dürfen, bietet Purple Agent von CoWorker laut Anbieter Schwachstellenprüfungen und forensische Analysen mit einem lokalen, vor Ort betriebenen LLM. Klären Sie vorab die Anforderungen an die Einsatzumgebung und die notwendigen betrieblichen Strukturen.

Zur Verwaltung der generativen KI-Nutzung durch Mitarbeitende prüft Layer Base von Layer Security Eingaben und Anhänge im Browser lokal auf dem Gerät und kann je nach Regel warnen, ersetzen oder blockieren. Der Anbieter beschreibt auch Kontrollen für unterstützte Aktionen von KI-Agenten. Prüfen Sie die unterstützten Browser und Aktionen und bewerten Sie dies getrennt vom Laufzeitschutz KI-gestützter Anwendungen.

Wenn Sie den Aufwand für die Sicherheitsüberwachung verringern möchten, unterstützt CTC-MSS AI SOC von ITOCHU Techno-Solutions die KI-gestützte Erkennung und Untersuchung von Bedrohungen sowie die Bereitstellung von Handlungsvorschlägen. Der Dienst wird zwar von einem japanischen Unternehmen angeboten, basiert jedoch auf Produkten des US-Unternehmens Exaforce.

Beim Vergleich KI-gestützter Prüfergebnisse lässt sich die Qualität nur schwer allein an der Zahl der gefundenen Probleme festmachen. Eine Prüfung, die an der Anmeldeseite stoppt, deckt von vornherein einen anderen Bereich ab als eine Prüfung, die bis zu Seiten für unterschiedliche Berechtigungsstufen gelangt. Bei einer Codeanalyse sollten Sie auch darauf achten, welche Repositorys und Programmiersprachen berücksichtigt wurden und ob der Pfad von der aufrufenden Stelle bis zur Datenbank einbezogen wurde.

Testen Sie mit derselben Anwendung, für deren Prüfung eine Genehmigung vorliegt, und demselben Revisionsstand. Vergleichen Sie, ob bekannte Probleme erkannt wurden, ob sich die Begründung der Befunde nachvollziehen lässt und ob nach einer Korrektur eine erneute Prüfung möglich ist. Wenn Sie außerdem vorab festlegen, wer für die Überprüfung der Befunde und die Korrekturen verantwortlich ist, lässt sich leichter verhindern, dass das Produkt nach der Einführung ungenutzt bleibt.

Auch bei einem japanischen Anbieter sind der Speicherort der Eingabedaten, die Region, in der die Inferenz stattfindet, und die Nutzung der Daten zum Training externer Modelle jeweils getrennte Bedingungen. Bevor Sie vertraulichen Code oder Protokolldaten übergeben, prüfen Sie anhand des Vertrags und der aktuellen Unterlagen auch die Speicherdauer, das Löschverfahren und mögliche Unterauftragnehmer.

Prüfen Sie die einzelnen Datenbedingungen getrennt. AeyeScan gibt an, Kundendaten in der japanischen AWS-Region zu speichern. Zugleich erklärt der Anbieter, dass die Daten der Option für generative KI auf Azure nach ihrer Nutzung höchstens 60 Tage gespeichert und anschließend automatisch gelöscht werden. Für unseren Dienst erläutern wir, dass TECHFUND selbst die Daten zwar nicht zum Training verwendet, sie aber je nach ausgewähltem externem Modell zum Training genutzt werden können. Speicherung in Japan, Nutzung zum Training, Speicherdauer und Verarbeitungsregion sind nicht gleichzusetzen.