JFrog breidt AI Security uit met Local Shadow AI Detection. Die functie spoort AI-assets direct op de workstations van developers op. Daarnaast introduceert het bedrijf AI Asset Scanning met Bring Your Own LLM Key, waarmee bedrijven skills, plugins en APM-packages via hun eigen taalmodel controleren.
JFrog breidt met de stap de beveiliging van de AI-supply chain uit naar een plek waar pipeline- en registry-controles niet bij kunnen. De nieuwe mogelijkheid bouwt voort op Shadow AI Detection. JFrog voegde die functie eerder toe aan zijn platform om niet-goedgekeurde interne modellen en externe AI-API’s op te sporen.
Volgens JFrog is de aanleiding duidelijk. Developers installeren skills, plugins, MCP-servers en hooks via Git, Slack, marketplaces of gewoon een zip-bestand. Dat gebeurt vaak buiten het zicht van securityteams. Elk van die assets draait met de rechten en credentials van de developer. Wie heeft wat geïnstalleerd, en heeft iemand daar toestemming voor gegeven? Dat is lang niet altijd duidelijk.
“Developers draaien al AI-agents die organisaties niet kunnen zien. JFrog AI Security brengt ze onder controle”, zegt CEO Shlomi Ben Haim. Volgens hem is de vraag niet langer óf agents de supply chain raken, maar of organisaties kunnen aantonen wát ze hebben aangeraakt.
Lokaal scannen, met een eigen LLM
Local Shadow AI Detection wordt uitgerold via de JFrog Agent Plugin, met mobile device management (MDM) of via de instellingen van de agent harness. De tool vindt skills, plugins en MCP-servers, ongeacht uit welke repository of marketplace ze komen. De scan is deterministisch en draait op het workstation zelf. Alleen metadata en een risicobeoordeling gaan terug naar het JFrog Platform. Daar wordt elk asset vergeleken met brondata, zodat duidelijk is wat is goedgekeurd.
AI Asset Scanning met BYOK voert semantische scans uit via het eigen LLM-account van de klant. Prompts en skills gaan rechtstreeks van het JFrog Platform naar het model-endpoint van de klant, zonder een gateway van JFrog ertussen. De kosten lopen via de eigen provider. Voor self-hosted klanten is BYOK zelfs de enige manier om AI Asset Scanning te gebruiken.
De functies zijn per direct beschikbaar voor gebruikers met JFrog Unified Security en Ultimate Security. BYOK ondersteunt bij de start Anthropic Opus 4.8, OpenAI GPT 5.6 Sol en Google Gemini 3.1 Pro.