Andrew Nesbitt beforscht Paketmanager und baut Tools und Datensätze, die dabei helfen sollen, Open Source umfassender zu verstehen. Dafür kartiert er die Infrastruktur hinter Open-Source-Software: Paket-Metadaten, Abhängigkeiten (Dependencies) und die Sicherheitseigenschaften von Softwarelieferketten. Im Gespräch mit c’t spricht er über die Auswirkungen von KI auf die Sicherheit von (Open-Source-)Software und über Ansätze, alten und neuen Problemen zu begegnen.

c’t: Herr Nesbitt, Sie beschäftigen sich eingehend mit Paketmanagern und deren Probleme. Würden Sie sagen, die Software-Lieferkettensicherheit, für die KI derzeit zum Problem wird, hängt damit zusammen?

Andrew Nesbitt: Es hängt alles zusammen und es ist schwierig, die einzelnen Aspekte voneinander zu trennen, aber ein paar Punkte fallen mir momentan besonders auf. Viele Paketmanagerkonfigurationen haben einfach schlechte Standardeinstellungen. Diese stellten früher kein großes Problem dar, weil Softwareentwickler früher nicht so viele Pakete installierten und oft immer dieselben. Heute verlieren sie sich in einem Dschungel aus Abhängigkeiten.

Das war die Leseprobe unseres heise-Plus-Artikels "Interview: Wie sich KI auf die Sicherheit von Open-Source-Software auswirkt". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.