// HEISE ONLINE — CYBERSECURITY
KI-Agenten in der Container-Security: Erfahrungen aus der Praxis
Zero-CVE-Images durch Agentic AI: Red Hats Hummingbird-Projekt zeigt, wie KI-Agenten Container-Security automatisieren – und wo Menschen unverzichtbar bleiben.
Für alle, die Container-Images in Produktion betreiben, ist es eine gewohnte Prozedur: Ein neuer CVE-Bericht landet in der Security-Pipeline, Scanner melden Befunde quer durch den Stack, irgendwo wartet dann ein Ticket auf einen Entwickler, der prüft, ob das Image neu gebaut werden muss. In der Zwischenzeit läuft die betroffene Anwendung mit einer bekannten Schwachstelle weiter, für die es längst einen Fix gibt.
Valentin Rothberg ist Senior Principal Software Engineer bei Red Hat, wo er zuletzt das Hummingbird-Projekt und Red Hat Hardened Images leitete. Heute ist er Technical Advisor im Unified Intelligence Engineering und verantwortet die KI-User-Experience aller Red-Hat-Produkte.Valentin Rothberg ist Senior Principal Software Engineer bei Red Hat, wo er zuletzt das Hummingbird-Projekt und Red Hat Hardened Images leitete. Heute ist er Technical Advisor im Unified Intelligence Engineering und verantwortet die KI-User-Experience aller Red-Hat-Produkte.
Michael Krausch-Hofmann arbeitet als Software Engineer bei Red Hat an Project Hummingbird, wo er die Plattform-Infrastruktur, CI/CD-Pipelines und die KI-Agenten-Architektur für Red Hat Hardened Images verantwortet hat. Zuvor leitete er das Continuous-Kernel-Integration-(CKI)-Projekt, das die Testinfrastruktur für Red Hats Linux-Kernel betreibt.
Hier versagt kein einzelnes Team, sondern es offenbart sich ein strukturelles Problem: Es gibt so viele gemeldete CVEs, dass menschliche Reviewer sie nicht mehr bewältigen können. Schon allein im Linux-Kernel kommen Hunderte Sicherheitsmeldungen im Jahr zusammen. Hinzu kommen Bibliotheken, Runtimes und Systempakete. Jedes davon muss überwacht, bewertet und bei Bedarf neu gebaut werden, und zwar in jedem Image, das es enthält.
Mehr zu Agentic AI, digitaler Souveränität und weiteren Themen finden interessierte Developer, Software-Architekten, DevOps- und Platform-Engineering-Teams auf der CLC-Konferenz vom 11. bis 12. November 2026 in Mannheim.
Die klassische Antwort auf das CVE-Problem lautet: mehr Automatisierung im CI/CD-Prozess. Das ist richtig, reicht aber nicht. Automatisierung beschleunigt das Bauen. Sie beantwortet noch nicht die Frage, wann gebaut werden soll, was gebaut werden soll und ob der Rebuild das Sicherheitsproblem tatsächlich löst. Wir benötigen keine schnelleren Pipelines. Wir benötigen intelligentere.
Dieser Artikel ist ein Erfahrungsbericht darüber, wie wir das in Project Hummingbird angegangen sind. Die Methodik dahinter, also die Trennung zwischen Regel und Urteil, die Nutzung von Dokumentation als Agentenkontext und der strukturierte Feedback-Loop, ist unabhängig von Distribution, Tooling oder Teamgröße übertragbar.
Project Hummingbird ist ein Open-Source-Projekt, mit dem Red Hat das CVE-Problem auf der Distributionsseite angehen will. Das Projekt baut und wartet minimale, gehärtete Container-Images (die Red Hat Hardened Images) unter einem vollautomatischen Supply-Chain-Prozess.
Minimal bedeutet dabei: Ein Image enthält nur das Nötigste. Shell, Paketmanager oder Debug-Tools landen nicht im Produktions-Image. Jede Zeile Code, die nicht im Image ist, reduziert dessen Angriffsfläche. Wer einen Container kompromittieren will, muss mit dem arbeiten, was darin enthalten ist.