Trace-AI

Trace-AI beantwortet eine scheinbar einfache, aber schwierige Frage: Was steckt wirklich in der Software, die du auslieferst? Durch die Verbindung mit einem GitHub- oder GitLab-Repository entsteht eine kontinuierlich aktualisierte Software-Stückliste im Format CycloneDX oder SPDX, die sowohl direkte als auch transitive Abhängigkeiten abdeckt. Da das SBOM mit dem Code mitwächst, arbeiten Teams stets mit einem aktuellen Inventar statt mit einem veralteten Schnappschuss.

Statt jeden CVE in ein Dashboard zu kippen, nutzt Trace-AI ein exploit-bewusstes Risikoscoring. Es gleicht Threat-Intelligence ab, sodass Schwachstellen mit bekannten Exploits in freier Wildbahn zuerst auftauchen, während schwache Signale im Hintergrund bleiben. Neben Schwachstellendaten verfolgt die Plattform die Lizenzverteilung — Copyleft-Lizenzen wie GPL und LGPL werden sofort markiert — und überwacht Anbieter, APIs, SDKs und SLA-Abläufe, sodass Drittanbieterrisiken in derselben Ansicht wie Coderisiken landen.

Das Produkt ist auf Transparenz ausgelegt. Klassifizierungslogik, Policy-as-Code-Prüfungen und Risikoscoring-Konfiguration werden als Open-Source-Modell (ZSBOM) veröffentlicht, damit Sicherheitsteams die Regeln prüfen oder forken können. Trace-AI wird als Freemium angeboten, die ersten 5 Repositories sind kostenlos, und exportiert Evidenz, die auf Rahmenwerke wie ISO 27001 und SOC 2 abgebildet ist.