Software Assurance · Open Source
MethodAtlas
Eine Source-Level-Karte dessen, was eine Testsuite tatsächlich enthält, ergänzt — wenn sinnvoll — um Security-Klassifizierung, Control-Mapping und Review-Evidenz. Das deterministische Inventar bleibt von der KI-Interpretation getrennt, damit das Ergebnis inspizierbar und reproduzierbar bleibt.
Vom Sourcecode zu belastbarer Evidenz
Ein erfolgreicher Testlauf beantwortet, ob Tests bestanden haben. Assurance stellt andere Fragen: Welche Tests existieren? Welche prüfen Security-Eigenschaften? Welche Controls unterstützen sie? Was hat sich seit dem letzten Review geändert? Lässt sich die Evidenz reproduzieren? MethodAtlas ist um diese Lücke herum gebaut.
Die Architektur behandelt Methoden-Discovery bewusst als strukturelles Source-Analyse-Problem, nicht als KI-Problem. KI kann Security-Relevanz klassifizieren, Tags vorschlagen oder beim Triage helfen, bleibt aber eine explizite Enrichment-Stufe auf einem deterministischen Inventar.
- Bestehende Tests behalten ihren Wert, weil das Tool inventarisiert, was bereits vorhanden ist.
- KI bleibt optional, statt der einzige Weg zu Ergebnissen zu sein.
- Review ist explizit, bevor Tags oder Evidenz als maßgeblich gelten.
- Ausgaben passen in Delivery-Pipelines über SARIF, CSV, Coverage-Matrizen und signierte Packs.
Acht Sprachen, ein Evidenzmodell
Die Sprachplugins erzeugen einen gemeinsamen Record auf Methodenebene. Dadurch bleibt der Assurance-Workflow konsistent, selbst wenn ein Portfolio moderne Services, Skripte und langlebige Enterprise-Plattformen umfasst.
Evidenzfähigkeiten, nicht nur Klassifizierung
Security-Taxonomie
KI-gestützte Klassifizierung kann Tests einer geschlossenen versionierten Security-Taxonomie oder einer kundenspezifischen Taxonomie zuordnen, die an das eigene Control Framework angepasst ist.
Confidence und Review Queues
Confidence Scores pro Methode unterstützen Schwellenwerte und menschliche Review Queues, statt ein binäres „KI sagt ja/nein“-Betriebsmodell zu erzwingen.
Content-Fingerprints
SHA-256-Fingerprints des Sourcecodes helfen, unveränderte Klassen zu erkennen, frühere KI-Ergebnisse wiederzuverwenden und nachzuweisen, ob Evidenz aus demselben Testinhalt stammt.
Delta-Reports
Zwei Inventare können verglichen werden, um hinzugefügte, entfernte oder geänderte Methoden zu zeigen — nützlich für Release-Evidenz und CI-Regression-Gates.
Control Coverage
Tags können vom Benutzer bereitgestellten Control-IDs zugeordnet werden, sodass die Ausgabe Coverage-Lücken zeigt, statt rohe Testzahlen mit Assurance gleichzusetzen.
Reproduzierbarkeits-Receipts
Eingaben, die einen Scan beeinflusst haben — einschließlich der tatsächlich verwendeten LLM-Prompt-Templates — können fingerprinted werden, damit ein späterer Reviewer die Entstehung des Ergebnisses rekonstruieren kann.
KI ist optional — und begrenzt
MethodAtlas unterstützt lokale Ollama-Inferenz, Cloud-Provider und einen zweistufigen manuellen Workflow für Umgebungen, in denen Sourcecode keine externe API verlassen darf. Menschlich geprüfte Overrides sind persistent; das Schreiben in Sourcecode bleibt bewusst von der Klassifizierung getrennt, damit Änderungen vor dem Write-back geprüft werden können.
Testmethoden, Framework-Metadaten, Positionen und Source-Identität ohne LLM entdecken.
Security-Relevanz, Taxonomie-Tags, Begründung und Confidence mit lokaler, Cloud- oder manueller KI ergänzen.
Entscheidungen prüfen, überschreiben und persistieren; Drift zwischen Source-Annotationen und späterer Klassifizierung erkennen.
CI-freundliche Records, Control Coverage, Receipts oder manipulationsgeschützte Evidenzpakete erzeugen.
Credential Detection als separates deterministisches Signal
Dieselbe Assurance-Pipeline kann im Sourcecode nach Credential-Kandidaten suchen. Die Discovery verwendet einen kuratierten deterministischen Regelkatalog mit mehr als 170 Vendor-Credential-Formaten; Werte werden standardmäßig maskiert. Wenn KI aktiviert ist, wird sie nachgelagert verwendet, um Glaubwürdigkeit zu bewerten und einen Kandidaten dem Endpoint zuzuordnen, den er vermutlich authentifiziert — nicht um den zugrunde liegenden Match zu erfinden.
Interaktives Review für Menschen, die keinen reinen CLI-Workflow wollen
Die Desktop-GUI stellt einen reviewer-orientierten Workflow um dasselbe Modell bereit: Source-Browsing, Syntax-Highlighting, Ergebnisbäume für Klassen und Methoden, Tag-Entscheidungen, gestufte Änderungen und Batch-Write-back. Review-Aktionen erzeugen Evidence-CSV-Records und persistente Overrides, damit eine GUI-Entscheidung nicht bloß temporärer Zustand auf einer Workstation bleibt.
Gestufte Source-Änderungen
Vorgeschlagene Annotationen können geprüft und im Speicher gestaged werden, bevor eine bewusste „Save All Changes“-Aktion sie in die Source-Dateien schreibt.
Audit Trail
Review-Entscheidungen werden als zeitgestempelte Evidenz und wiederverwendbare Overrides festgehalten; die Unterscheidung zwischen Maschinenvorschlag und menschlicher Entscheidung bleibt erhalten.
KI-Profile
Benannte Provider-Profile erlauben den Wechsel zwischen lokaler und Remote-Inferenz, ohne diese Wahl in die Discovery Engine einzubauen.
Plugin-Auswahl
Discovery-Plugins können pro Lauf aktiviert werden, damit ein heterogenes Repository auf die für den Review relevanten Sprachen eingeschränkt werden kann.
Evidence Packs und ZeroEcho
Evidence Packs bündeln Scan-Ausgaben in einem manipulationsgeschützten Verzeichnis mit SHA-256-Manifest. Wenn eine Signatur verlangt wird, kann MethodAtlas ZeroEcho für klassische, Post-Quantum- oder Hybrid-Signaturen verwenden. Das verbindet zwei Egothor-Themen praktisch: Assurance-Evidenz finden und anschließend die Integrität des Evidenzpakets schützen.
Projektentwicklung
MethodAtlas begann mit einer Open-Source-Grundlage, die von Egothor entwickelt wurde. Accenture erweiterte diese Grundlage später um zusätzliche Fähigkeiten; das erweiterte öffentliche Projekt wird heute in Accentures GitHub-Organisation publiziert. Das beschreibt die Projektentwicklung und wird hier nicht als institutionelle Partnerschaft oder Empfehlung dargestellt. Das öffentliche Projekt steht unter der Apache License, Version 2.0.