Connect with us

Entwicklung & Code

Minimus öffnet Katalog gehärteter Container-Images für alle Entwickler


Das auf Containersicherheit spezialisierte Unternehmen Minimus stellt den kompletten Katalog seiner gehärteten Container-Images ohne Registrierung für alle Softwareentwickler frei zur Verfügung. Im Rahmen der Community Edition liegen tausende distrolose Images bereit, die nahezu frei von bekannten CVEs sein sollen – darunter Images für Anwendungen wie nginx, Python, PostgreSQL, Elasticsearch, RabbitMQ, Argo CD und cert-manager. Für den Zugriff auf die Image-Gallery-Bibliothek sind laut Minimus weder ein Login noch Budgetfreigaben erforderlich, auch auf Download-Limits verzichtet der Anbieter.

Weiterlesen nach der Anzeige

Wie Minimus in seiner Ankündigung erläutert, reagiert das Unternehmen damit auf eine dramatisch wachsende Zahl entdeckter Schwachstellen. CEO Ben Bernstein verweist in diesem Zusammenhang auf KI-Modelle und -Programme von Anthropic: „Modelle wie Mythos und (das Projekt) Glasswing haben den Umfang und das Tempo der Schwachstellenentdeckung erheblich gesteigert, während die Fähigkeiten zur Behebung nicht Schritt halten“, so Bernstein. Tatsächlich belegen Analysen, etwa von VulnCheck, massiv gestiegene CVE-Volumina unter anderem bei GitHub-Projekten, teils getrieben durch KI-gestützte Discovery. Für DevSecOps-Teams bedeutet das: Klassische „Alles patchen“-Strategien stoßen an ihre Grenzen. Stattdessen rücken risikobasierte Priorisierung – etwa entlang der CISA-KEV-Liste oder bekannter Exploits – und der Einsatz minimaler Baselines in den Vordergrund.




Die auf Developer Experience (DX) und Platform Engineering spezialisierte CLC-Konferenz findet vom 11. bis 12. November 2026 in Mannheim statt. Ein besonderer Fokus liegt darauf, wie Agentic AI die Arbeit von Developern, Software-Architekten, DevOps- und Platform Engineers verändert und wie sich digitale Souveränität nachhaltig erreichen lässt.

Ab sofort sind Tickets zum Frühbucherpreis verfügbar.

Die Minimus-Images werden laut Anbieter kontinuierlich aus Upstream-Quellcode auf einer distrolosen Basis neu gebaut, gescannt und gehärtet. Sie enthalten ausschließlich die Komponenten, die eine Anwendung zur Laufzeit tatsächlich benötigt – Shells, Paketmanager und Debug-Tools fehlen bewusst. Minimus gibt an, dass die Images oft bis zu 95 Prozent kleiner als herkömmliche Standard-Images seien und als API-kompatible Drop-in-Replacements dienen sollen. Im einfachsten Fall genüge die Änderung einer einzigen Zeile im Dockerfile.

Wie praxistauglich distrolose Ansätze in produktiven Kubernetes-Umgebungen sind, beleuchtet ein mehrteiliger Artikel zu minimalen und sicheren Docker-Images sowie zum Selbstbauen sicherer Container-Images. Der Kernbefund: Funktional können solche Images klassische „Full-Fat“-Varianten in vielen Fällen ersetzen, sofern Debugging-Workflows auf Kubernetes-Bordmittel wie Ephemeral Containers umgestellt werden. Gerade für regulierte Branchen in Deutschland – etwa Finanzwesen, Gesundheitssektor oder KRITIS-Betreiber – kann der Wegfall unnötiger Angriffsfläche ein erheblicher Vorteil sein.

Weiterlesen nach der Anzeige

Minimus wirbt damit, dass sämtliche Images die Anforderungen nach FIPS, CIS, NIST und STIG erfüllen. FIPS zielt dabei auf die Validierung kryptografischer Module, NIST liefert mit Publikationen wie SP 800-190 konkrete Leitlinien für Container-Sicherheit, CIS stellt Härtungs-Benchmarks bereit und STIG definiert detaillierte Konfigurationsvorgaben des US-Verteidigungsministeriums. Für Compliance- und Datenschutzbeauftragte in der DACH-Region vereinfacht das potenziell Audits erheblich – insbesondere wenn Nachweise sicherer Konfigurationen, SBOM-Dokumentation und Provenance-Attestierungen gefordert sind, wie sie etwa ISO 27001 oder BSI-Grundschutz verlangen. Minimus stellt nach eigenen Angaben signierte SBOMs und kryptografische Signaturen für jedes Build bereit und nennt als Ziel SLSA Level 3, was reproduzierbare Builds mit gesicherten CI/CD-Pipelines impliziert.

Dass gehärtete Container-Images zunehmend zum wettbewerbsentscheidenden Thema werden, zeigte bereits zum vergangenen Jahreswechsel die Entscheidung von Docker Inc., seine Hardened Images kostenlos anzubieten. Gleichzeitig verdeutlichen Befunde wie die Entdeckung von geheimen Zugangsdaten in über 10.000 Docker-Hub-Images, wie groß der Handlungsbedarf bei Container-Sicherheit bleibt.

Neben der kostenlosen Community Edition bietet Minimus eine Enterprise Edition mit vertraglich zugesicherten Remediation-SLAs: 24 Stunden für kritische und hohe CVEs auf der CISA-KEV-Liste, 48 Stunden für alle übrigen kritischen und hohen Schwachstellen. Enterprise-Kunden erhalten zudem einen Image Creator für kundenspezifische Images, Enterprise-SSO, rollenbasierte Zugriffskontrolle sowie die Möglichkeit, Images in bestehende Registries – auch in Air-Gap-Umgebungen – zu synchronisieren.

Entwicklerinnen und Entwicklern stellt Minimus darüber hinaus das CLI-Tool minicli bereit, das als „agent-ready“ beschrieben wird. Es soll sich in Workflows mit KI-Assistenten wie Claude, Codex oder Cursor einbinden lassen, um Migrationen auf gehärtete Images zu automatisieren. Minimus wurde 2022 von Ben Bernstein, Dima Stopel und John Morello gegründet – alle drei waren bei Twistlock tätig; John Morello war zudem Mitautor des NIST-Dokuments SP 800-190 zur Container-Sicherheit.


(map)



Source link

Entwicklung & Code

Serverless mit Pausenfunktion: AWS stellt Lambda MicroVMs vor


AWS hat mit Lambda MicroVMs eine neue Laufzeitumgebung für serverlose Workloads vorgestellt. Die MicroVMs sollen VM-Level-Isolation mit sehr schnellen Start- und Fortsetzungszeiten verbinden und den Zustand einer laufenden Session erhalten. Amazon zielt damit auf Anwendungen, die Nutzer- oder KI-generierten Code ausführen und für jeden Nutzer oder Job eine eigene, abgeschottete Umgebung brauchen. Bisher mussten Entwickler laut AWS zwischen starker Isolation, schnellen Startzeiten und der Möglichkeit wählen, den Zustand einer Sitzung zu speichern.

Weiterlesen nach der Anzeige

Zum Einstieg erzeugen Entwickler ein MicroVM-Image aus einem Dockerfile. Auf Basis dieses Images lassen sich MicroVMs starten. Jede MicroVM erhält eine dedizierte HTTPS-URL. Die Umgebung unterstützt laut Ankündigung HTTP/2, gRPC und WebSockets. Zudem gibt AWS an, dass sich die Ausführung für bis zu acht Stunden anhalten und später fortsetzen lässt.

Technisch basiert Lambda MicroVMs auf Firecracker, der Virtualisierungstechnik, die auch AWS Lambda selbst nutzt. Firecracker bildet aktuell die Grundlage für mehr als 15 Billionen Lambda-Aufrufe pro Monat, so Amazon.

Lambda MicroVMs ist laut AWS ab sofort in fünf Regionen verfügbar: US East (N. Virginia), US East (Ohio), US West (Oregon), Asia Pacific (Tokyo) und Europe (Ireland). Die Steuerung ist über die AWS Lambda Console, CloudFormation, das Cloud Development Kit und das Agent Toolkit for AWS möglich.

Beim Preis berechnet AWS die Baseline-Compute-Ressourcen, solange die MicroVM läuft. Zusätzliche Ressourcen fallen nur für die Zeit an, in der eine Workload über dieses Baseline-Niveau hinausgeht.

Weiterlesen nach der Anzeige


(fo)



Source link

Weiterlesen

Entwicklung & Code

Claude mischt sich ein: Der neue proaktive KI-Kollege für Slack


Anthropic hat mit Claude Tag eine neue Integration für sein KI-Modell Claude vorgestellt. Der Dienst startet zunächst in Slack und soll dort als Teammitglied in ausgewählten Kanälen arbeiten. Nutzer können @Claude in einem Channel ansprechen, Aufgaben anstoßen und das Modell mit freigegebenen Tools, Daten und auch Codebasen verbinden. Claude soll dabei den Kontext aus dem Kanal aufbauen, relevante Informationen behalten und Aufgaben auch über längere Zeiträume verfolgen. Die Beta startet ab sofort für Claude-Enterprise- und Team-Kunden.

Weiterlesen nach der Anzeige

Claude Tag unterscheidet sich nach Angaben von Anthropic deutlich von einem klassischen Chatbot. In einem Slack-Channel arbeitet nicht jeder mit einer eigenen Instanz, sondern alle Beteiligten greifen auf dieselbe Claude-Instanz zu. Wer später in die Unterhaltung einsteigt, kann an frühere Arbeit anknüpfen, ohne den Kontext erneut erklären zu müssen. Das System zerlegt Aufgaben in Schritte und antwortet nach Abschluss in einem Slack-Thread. Anthropic positioniert Claude Tag offiziell als stärker teamorientierte Weiterentwicklung von Claude Code.

Ein zentrales Merkmal ist die Fähigkeit, über den aktuellen Chat hinaus zu lernen. Der Agent speichert Informationen aus den Kanälen, in denen er aktiv ist. Mit entsprechender Berechtigung kann das Modell zudem Wissen aus anderen Slack-Kanälen und Datenquellen verknüpfen, wobei private Kanäle ausgenommen bleiben. Dieses übergeordnete, kanalübergreifende Wissen soll dem Modell die nötige Kontexttiefe verleihen, um komplexe Aufgaben konsistent zu bearbeiten.

Neu ist außerdem ein optionaler proaktiver Modus. Ist dieser aktiviert, hebt Claude relevante Informationen aus verbundenen Kanälen und Tools hervor und weist auf ins Stocken geratene Aufgaben hin. Zudem arbeitet das System asynchron: Nach dem Anstoßen einer Aufgabe kann der Agent diese über Stunden oder Tage hinweg autonom weiterverfolgen, während der Nutzer parallel an anderen Themen arbeitet. Aufgaben lassen sich so effizient delegieren.

Für den Einsatz in Organisationen können Administratoren genau steuern, auf welche Tools und Daten das Modell in welchen Kanälen zugreifen darf. Claude wird dabei als separate Identitäten verwaltet: Ein für den Vertrieb eingerichtetes Modell erhält keinen Zugriff auf Engineering-Daten und umgekehrt. Zur Kostenkontrolle und Nachvollziehbarkeit lassen sich Obergrenzen für den Token-Verbrauch auf Organisations- und Kanalebene festlegen. Zudem protokolliert das System alle Aktivitäten samt Anfragesteller.

Weiterlesen nach der Anzeige

Claude Tag ersetzt die bisherige Claude-in-Slack-App. Enterprise- und Team-Kunden, die auf das neue System umsteigen möchten, müssen ihren Workspace neu verbinden, die Zugriffsberechtigungen definieren und ein monatliches Budget festlegen. Für die Migration haben Administratoren 30 Tage Zeit, um sich anzumelden. Anthropic empfiehlt, den Testlauf zunächst in einem privaten Channel zu starten. Berechtigte Enterprise- und Team-Organisationen erhalten zudem ein Einführungsguthaben, damit das gesamte Unternehmen Claude Tag ausprobieren kann.

Das System nutzt zum Start Opus 4.8. Anthropic plant, Claude Tag künftig auch außerhalb von Slack anzubieten. Der Anbieter selbst setzt Claude Tag bereits intern ein, etwa für die Codeerstellung, die Auswertung von Produktmetriken oder die Analyse von Support-Tickets. Nach Unternehmensangaben entstehen 65 Prozent des Codes im Produktteam bereits durch die interne Version von Claude Tag.

Lesen Sie auch


(fo)



Source link

Weiterlesen

Entwicklung & Code

Softwarebranche muss Geschäftsmodelle umbauen | heise online


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Die Softwarebranche muss sich nach Einschätzung des Bitkom auf einen tiefgreifenden Umbau ihrer Geschäftsmodelle einstellen. Künftig werde Software weniger nach Arbeitszeit oder pauschalen Lizenzen verkauft, sondern stärker nach messbaren Ergebnissen abgerechnet, heißt es in der Studie „Softwarewelt 2036“. Auslöser ist vor allem der Einsatz von KI-Agenten, die nicht mehr nur als Werkzeug dienen, sondern selbst Aufgaben übernehmen und Prozesse ausführen.

Weiterlesen nach der Anzeige

Der Verband verweist darauf, dass sich damit die Logik vieler bestehender Erlösmodelle verschiebt. Wenn ein KI-Agent die Arbeit mehrerer Menschen erledigen kann, lässt sich Aufwand nach Köpfen oder Stunden immer schwerer rechtfertigen. Unter Druck geraten laut Bitkom vor allem Body Leasing, stundenbasierte IT-Dienstleistungen, FTE-Outsourcing und Offshore-Bodyshopping. Auch klassische Entwicklungs- und Support-Pyramiden, deren Wert stark an menschlicher Arbeitsmenge hängt, verlieren demnach an Tragfähigkeit.

An die Stelle von Zeit- und Lizenzmodellen treten nach Einschätzung des Bitkom zunehmend ergebnisbezogene Abrechnungen. Kunden zahlen dann nicht mehr primär für Softwarezugang oder Personalstunden, sondern für konkrete Resultate wie gelöste Tickets, behobene Sicherheitslücken, bereitgestellte Features oder bestandene Compliance-Prüfungen. Der Bitkom erwartet, dass Outcome- und Value-based Pricing vor allem im B2B-Geschäft an Bedeutung gewinnt.

Damit verändert sich auch die Rolle von Software. Sie werde künftig weniger als einzelnes Werkzeug verstanden, das Menschen bedienen, sondern als Instanz, die KI-Agenten steuert, Prozesse orchestriert und Ergebnisse liefert. Der Bitkom beschreibt dies als Entwicklung hin zu „Agentic Systems“, in denen KI-Agenten Aufgabenketten abarbeiten. Entscheidend werde die Fähigkeit, Geschäftsergebnisse in solche agentenfähigen Architekturen zu übersetzen.

Mit dieser Entwicklung verändern sich auch die Anforderungen an Beschäftigte. Manuelles Coding, Standardlogik und triviale Tests verlieren an Gewicht. Wichtiger werden Architektur, Review, Evaluation, Orchestrierung und die Bewertung von KI-Ergebnissen. Hinzu kommen Datenkompetenz, Urteilsfähigkeit, Verantwortung und die Fähigkeit, zwischen Fachabteilungen, IT und Regulierung zu vermitteln.

Für Anbieter sieht der Bitkom vor allem dort Chancen, wo technologische Kompetenz mit Branchenwissen zusammenkommt. Reines Coding werde weniger zum Differenzierungsmerkmal, heißt es in der Studie. Wichtiger würden Domänenwissen, Prozessverständnis und die Fähigkeit, fachliche Anforderungen in KI-gestützte Systeme zu übersetzen. Der Verband spricht in diesem Zusammenhang von Übersetzern zwischen Business, IT, Daten, Regulierung und Menschen.

Weiterlesen nach der Anzeige

Gleichzeitig gewinnt Vertrauen an Bedeutung. Anbieter müssen Nachvollziehbarkeit, Auditierbarkeit und europäische Datenhaltung von Anfang an mitdenken, meint der Bitkom. Das könne gerade in regulierten Branchen zu einem Wettbewerbsvorteil werden. Compliance und Datensouveränität würden dann nicht nur als Pflicht, sondern auch als Verkaufsargument wirken.

Parallel dazu verschiebt sich der Markt aus Sicht des Bitkom weg von isolierten Einzellösungen hin zu Plattformen und Ökosystemen. Einzeltools ohne Anbindung an größere Prozess- und Datenstrukturen hätten künftig schlechtere Karten. Daten sind dabei die Grundlage, um Wirkung nachzuweisen, Systeme zu verbessern und neue Geschäftsmodelle zu entwickeln. Entscheidend sei nicht nur der Besitz von Daten, sondern ihre Qualität, ihr Kontext, ihre Governance und ihre verantwortungsvolle Nutzung.

Für Unternehmen empfiehlt der Bitkom deshalb, Datenbasis und Systemlandschaften zu bereinigen, KI von Pilotprojekten systematisch zu skalieren und eine einheitliche Daten- und Agentenplattform aufzubauen. Rollenprofile und Karrierepfade müssten an die neuen Anforderungen angepasst werden. Fachkräfte mit Domänenwissen und KI-Orchestrierung seien besonders gefragt.

Auch die Politik muss reagieren, so der Bitkom. Der Verband fordert eine modernisierte Aus- und Weiterbildung, breiter angelegte KI- und Tech-Kompetenzen sowie eine Regulierung, die stärker auf Ergebnisse als auf einzelne Werkzeuge zielt. Gesetze und Vorgaben sollten demnach schneller überprüft und an technologische Entwicklungen angepasst werden. Zudem plädiert der Bitkom für Experimentierräume, schnellere Verfahren und den Ausbau europäischer KI- und Compute-Infrastruktur.

Die Studie „Softwarewelt 2036“ basiert auf Interviews mit Führungskräften und Experten aus der Softwarebranche und angrenzenden Bereichen. Sie ist nicht repräsentativ, soll aber zentrale Muster und Zukunftsbilder sichtbar machen. Für Unternehmen und Politik, so die Schlussfolgerung des Bitkom, bleibe nicht viel Zeit, um sich auf die neuen Bedingungen einzustellen.


(fo)



Source link

Weiterlesen

Beliebt