Quellenbasierte Software-Lieferketten

Der Abhängigkeitsatlas für öffentlichen KI-Code

Name: KI-Abhängigkeitsatlas der Verwaltung | i6eal
Creator: i6eal
License: https://creativecommons.org/licenses/by/4.0/

Sieh, welche exakten Paketversionen den veröffentlichten KI-Code der deutschen Verwaltung tragen – und wo Konzentration, Lizenzdaten, Versionsalter und OSV-Meldungen tatsächlich prüfbar sind.

Lockfiles und SBOMsnur exakte Versionendeps.dev und OSVkeine generative KI

01KI-Code-Evidenzrepository@commit

02Lockfile oder SBOMblob_sha + file_path

03Aufgelöste Paketversionecosystem:name@version

04Metadaten und OSV-Meldungchecked_at + source_id

Datenstand 18. Oktober 2026Beobachtet seit 18. Juli 202644 Repositories in der exakten Kohorte

Die Prüfgrenze

Eine OSV-Meldung belegt keine Ausnutzbarkeit.

Der Atlas sendet ausschließlich beobachtete, exakt aufgelöste Paketversionen an OSV. Ein Treffer belegt weder Erreichbarkeit noch produktiven Einsatz; keine zurückgegebene Meldung bedeutet nicht, dass ein Paket sicher ist.

nur aufgelöstes paket@version

Exaktes Lieferketten-Lagebild

Was trägt den veröffentlichten KI-Stack der Verwaltung?

Die Kohorte beginnt bei Repositories mit exakter KI-Code-Evidenz. Lockfiles, SBOMs und exakte Pins machen Paketidentitäten sichtbar, ohne Versionsbereiche durch geratene Versionen zu ersetzen.

40Repositories mit aufgelöster Evidenz

4.011geprüfte exakte Paketversionen

882aktuelle OSV-Meldungen

Von KI-Code-Evidenz zur prüfbaren Version

Jede Stufe behält ihren eigenen Nenner. Ein fehlendes Lockfile in einem unvollständigen Baum bleibt nicht prüfbar – nicht null.

0144
Code-Radar-Kohorte
0240
mit aufgelösten Komponenten
0327
davon über Lockfile oder SBOM, die übrigen über exakte Pins
044.011
an OSV gesendete exakte Versionen

Am weitesten verbreitete KI-Pakete

Repository-Präsenz innerhalb der exakten Kohorte aus 44 Repositories; gezählt wird jedes Repository, das ein Paket direkt oder indirekt einbindet. Das ist kein Marktanteil.

Provider-Schnittstellen im veröffentlichten Code

Ein Schnittstellenpaket kann einen Provider ermöglichen; es belegt weder Konto, Konfiguration, Beschaffung noch API-Aufruf. Die Zahl zählt Repositories, die eines der Pakete direkt einbinden; die Paketliste zählt auch indirekte Einbindung.

OpenAI3 Pakete
8
Ollama1 Paket
4
Hugging Face3 Pakete
2

Gemeldete Lizenzausdrücke

Die Ausdrücke stammen aus Paketmetadaten. Daraus wird keine Kompatibilität oder rechtliche Bewertung abgeleitet.

MIT1.569
Apache-2.0251
non-standard226
BSD-3-Clause120
ISC102
BSD-2-Clause41
MPL-2.019
Apache-2.0 AND MIT10

Quellen und Zitation

Für reproduzierbare, zeitgebundene Aussagen gebaut

Jedes Ergebnis bewahrt öffentliches Repository, unveränderlichen Commit und Evidenzdatei. Paketmetadaten und OSV-Antworten werden getrennt erfasst – mit eigenem Abrufzeitpunkt und eigener Aussagegrenze.

i6eal (2026): KI-Abhängigkeitsatlas der Verwaltung – 44 Repositories, 4.011 geprüfte exakte npm-/PyPI-Paketversionen und 882 zurückgegebene OSV-Meldungen, Datenstand 18. Oktober 2026. https://i6eal.de/tools/ki-abhaengigkeitsatlas/

Klar erklärt

Belegt eine OSV-Meldung, dass ein Repository verwundbar ist?

Nein. Sie zeigt, dass OSV zum Erhebungszeitpunkt eine öffentliche Meldung einer exakt beobachteten Paketversion zugeordnet hat. Erreichbarkeit, Ausnutzbarkeit, Betrieb und Schutzmaßnahmen werden damit nicht belegt.

Was bedeutet keine zurückgegebene OSV-Meldung?

Nur, dass die OSV-API zu diesem Zeitpunkt keine passende öffentliche Meldung für die übermittelte exakte Version zurückgegeben hat. Das ist keine Aussage, dass das Paket sicher ist.

Wie behandelt der Atlas Versionsbereiche?

Er löst sie nie durch eine Annahme auf. Eine Version wird nur geprüft, wenn ein Lockfile, eine SBOM oder ein exakter Doppelgleich-Pin sie veröffentlicht. Der Collector setzt nie das neueste Release ein.

Messen die Lizenzfelder Portabilität?

Nein. Der Atlas zeigt SPDX-Ausdrücke aus Paketmetadaten und fehlende Abdeckung. Er leitet weder Kompatibilität, Pflichten, Migrationsaufwand noch rechtliche Bewertungen ab.

Belegt ein Provider-SDK die Nutzung des Providers?

Nein. Ein direktes Schnittstellenpaket ist nur ein Signal im veröffentlichten Code. Es belegt weder Konfiguration, Konto, Beschaffung, Datentransfer noch API-Aufruf.

Verwendet der Collector generative KI?

Nein. Dateisuche, Parsing, Paketnormalisierung, Providerregeln und Veröffentlichung sind deterministisch und begrenzt.

Du brauchst einen prüfbaren Software-Lieferkettendatensatz für dein Themenfeld?

Wir bauen Public-Interest-Intelligence mit exakten Identitäten, sichtbaren Fehlstellen und Quellpfaden, die überprüfbar bleiben.

Datenprojekt besprechen KI-Code-Radar ansehen

Das passt dazu

Nächste sinnvolle Schritte

Diese Tools passen thematisch dazu.

Alle Tools ansehen

MonitorKI-Code-Radar der VerwaltungWelche KI-Bausteine veröffentlicht die deutsche Verwaltung als offenen Code? Exakte Pakete, Container, Commit-SHAs und Dateipfade aus openCode – mit dauerhaften Dossiers und ohne Aussage über den Betrieb.MonitorKI-VerwaltungsradarWo setzt die deutsche Verwaltung bereits KI ein? Durchsuch veröffentlichte Systemprofile aus Bund, Ländern und Kommunen – mit Lebenszyklus, Governance-Feldern, stabiler Kennung und Originalbeleg.Provenienz-CheckKI-Systempass der VerwaltungSieh für jedes veröffentlichte Verwaltungs-KI-System, welche öffentlichen Daten sich über stabile Kennungen oder exakt angegebene Repository-URLs verbinden lassen – mit Quellen pro Kante und sichtbaren Beleggrenzen.