An rhestr eiddo deallusrwydd artiffisial yn gatalog sy'n cael ei ddiweddaru'n barhaus o bob ased AI sy'n rhedeg ar draws eich sefydliad — modelau, pwyntiau terfyn sy'n cael eu pweru gan AI, setiau data, cynorthwywyr codio AI, gweinyddion MCP a dibyniaethau AI — ynghyd â'r perthnasoedd, y risgiau a'r perchnogion sy'n eu cysylltu. Mewn cyd-destun diogelwch nid oes gan hyn ddim i'w wneud â rheoli warws na rhestr eiddo; yma, "Rhestr eiddo deallusrwydd artiffisial" yn syml, mae'n golygu gwybod yn union pa AI rydych chi'n ei redeg, ble mae'n byw, a beth y gall ei gyrraedd.
Wrth i AI ledaenu ar draws pob cam o ddatblygu meddalwedd, o gynhyrchu cod yn yr IDE i asiantau ymreolaethol sy'n gweithredu y tu mewn CI/CD pipelines, nid y cwestiwn bellach yw a yw AI yn bresennol yn eich amgylchedd. A allwch chi ei weld yw e. Mae'r canllaw hwn yn esbonio beth yw rhestr eiddo AI, sut mae'n ymwneud â AI-BOM a SBOM, pam cysgod AI wedi dod yn broblem diogelwch, a sut mae'r arfer yn mapio i'r Deddf AI yr UE, NIST AI RMF ac ISO / IEC 42001.
Siopau tecawê allweddol
- Mae rhestr eiddo AI yn catalogio pob model, set ddata, asiant, gweinydd MCP ac offeryn codio AI ar draws cylch bywyd eich meddalwedd, nid dim ond y rhai a gymeradwywyd gan TG.
- Cysgod AI, AI a fabwysiadwyd heb lywodraethu, yw'r norm bellach, nid yr eithriad: mewn un arolwg o arweinwyr diogelwch yn 2026, dim ond Adroddodd 19% o sefydliadau welededd llawn i ble a sut mae deallusrwydd artiffisial yn cael ei ddefnyddio.
- An AI-BOM (Bil Deunyddiau AI) yw allbwn parod i'w archwilio o restr eiddo deallusrwydd artiffisial: olynydd oes deallusrwydd artiffisial i'r SBOM.
- Mae rheoliadau'n cyrraedd. Mae Deddf AI yr UE, NIST AI RMF ac ISO/IEC 42001 i gyd yn ei gwneud yn ofynnol i chi wybod pa AI rydych chi'n ei weithredu.
- Dim ond y man cychwyn yw rhestr eiddo; mae'r gwerth yn dod o sgorio risg a gweithredu ar y nifer fach o asedau sy'n wirioneddol bwysig.
Beth yw rhestr eiddo AI?
Rhestr eiddo deallusrwydd artiffisial yw'r arfer o ddarganfod, catalogio a monitro'n barhaus bob ased deallusrwydd artiffisial sy'n gweithredu ar draws eich cylch bywyd datblygu meddalwedd, a'r risgiau sy'n gysylltiedig â phob un. Mae rhestr eiddo gyflawn yn ateb tri chwestiwn ar gyfer pob ased: beth ydyw, ble mae'n rhedeg, a beth all gael mynediad iddo?
Mae'r cwmpas hwnnw'n ehangach nag y mae'r rhan fwyaf o dimau'n ei ddisgwyl. Dylai rhestr eiddo deallusrwydd artiffisial ystyrlon gynnwys:
- Modelaupob model iaith mawr a model sylfaen sy'n cael ei ddefnyddio ar draws datblygu a chynhyrchu, gyda hyder o ran fersiwn, lleoliad a chanfod.
- Datasets: data hyfforddi, setiau data adfer a storfeydd fector, gan gynnwys dod i gysylltiad â chyd-destun gwenwynig a gollyngiadau data.
- Asiantau: systemau ymreolaethol sy'n cymryd camau gweithredu yn eich amgylchedd, fel agor pull requests, gosod dibyniaethau, neu gyffwrdd â seilwaith.
- Gweinyddion MCP: Protocol Cyd-destun Model gweinyddion sy'n cysylltu cynorthwywyr AI ag offer allanol, APIs a ffynonellau data.
- Offer a chynorthwywyr codio AI: cyd-beilotiaid ac integreiddiadau IDE sy'n cynhyrchu cod, awgrymu dibyniaethau a rhyngweithio ag ystorfeydd.
- Fframweithiau AILangChain, LangGraph, gweinyddion asiantau a haenau cerddorfaol eraill sy'n cysylltu modelau ag offer a data.
- Perthnasoedd rhwng asedau: y cysylltiadau rhwng modelau, asiantau, gweinyddion, setiau data a'r cyfrinachau sy'n gysylltiedig â nhw. Mae graff perthynas yn gwneud risg yn weladwy mewn cyd-destun, nid fel rhestr wastad.
Rhestr eiddo AI vs rhestr eiddo asedau AI vs AI-BOM, a sut maen nhw'n wahanol i SBOM
Defnyddir y termau hyn yn rhydd, felly mae'n helpu i fod yn barodcise. Mae “rhestr eiddo AI” a “rhestr eiddo AI” yn disgrifio’r un peth: y catalog byw o asedau AI a'u risgiau. AI-BOM yw'r arteffact allforiol y mae rhestr eiddo yn ei gynhyrchu: bil o ddeunyddiau y gellir ei ddarllen gan beiriant y gallwch ei roi i archwilydd neu enterprise prynwr.
Y ffordd lanaf o ddeall yr AI-BOM yw trwy gyfatebiaeth â'r SBOM:
Wrth i AI ddod yn rhan annatod o'r SDLC, mae'r AI-BOM yn dod mor sylfaenol â'r SBOM, ac mae arweinwyr diogelwch yn derbyn ceisiadau gan archwilwyr a enterprise timau caffael ar gyfer yr arteffact hwn yn union.
Pam mae rhestr eiddo AI yn bwysig nawr
Mae tri grym wedi troi rhestr eiddo AI o fod yn beth braf i'w gael yn flaenoriaeth.
- Yn gyntaf, mae AI yn ysgrifennu cod ansicr ar raddfa fawr. Mae ymchwil annibynnol yn gyson yn canfod bod cyfran fawr o god a gynhyrchir gan AI yn dod â gwendidau. Canfu astudiaeth wreiddiol NYU/Copilot gan Pearce et al. yn fras Roedd 40% o'r rhaglenni a gynhyrchwyd yn cynnwys gwendidau diogelwch, ac mae profion ar raddfa fawr mwy diweddar yn pwyntio yn yr un ffordd: dim ond dadansoddiad Veracode yn 2025 ar draws 100+ o fodelau a ganfuwyd Roedd 55% o'r cod a gynhyrchwyd gan AI yn ddiogelOs nad ydych chi'n gwybod pa gynorthwywyr sy'n cynhyrchu cod yn eich pipelines, ni allwch reoli'r risg honno.
- Yn ail, mae'r gadwyn gyflenwi meddalwedd wedi dod yn arwyneb ymosodiad AI. Ym mis Medi 2025, Shai Hulud, y mwydyn npm hunan-leoliadol cyntaf, a drodd beiriannau datblygwyr yn fecanwaith dosbarthu, gan ymledu ar draws cannoedd o becynnau. Ym mis Mawrth 2026, fe wnaeth ymosodwyr beryglu axios, pecyn gyda thua 100 miliwn o lawrlwythiadau wythnosol, gan gyhoeddi fersiynau gwenwynig a ollyngodd Trojan mynediad o bell. Mae ymosodiadau fel y rhain yn glanio yn union yn yr haen rhwng AppSec traddodiadol ac offer pwynt terfynol: yr haen y mae rhestr eiddo AI wedi'i hadeiladu i'w goleuo.
- Yn drydydd, mae cyfrinachau a chymwysterau yn gollwng trwy AI. Adroddodd State of Secrets Sprawl 2026 gan GitGuardian fod Cynyddodd gollyngiadau cyfrinachau gwasanaethau AI 81% flwyddyn ar ôl blwyddyn, a bod hynny wedi'i gynorthwyo gan AI commits leak secrets tua dwywaith y gyfradd sylfaenol. Mae pob model, asiant neu weinydd MCP heb ei ddogfennu yn llwybr posibl at gymhwyster.
Mae AppSec traddodiadol yn stopio yn y storfa ac nid yw'n deall beth yw model. Mae offer pwynt terfyn yn gwylio'r system weithredu ond nid ydynt yn deall pecynnau, gweinyddion MCP na chynorthwywyr AI. Y bwlch rhyngddynt yw lle mae risg AI yn cronni, a rhestr eiddo yw'r cam cyntaf i'w chau.
Lle mae AI yn cuddio: Cysgodi AI ar draws y SDLC
Cysgod AI a oes unrhyw system AI yn cael ei mabwysiadu heb gymeradwyaeth ffurfiol na llywodraethu: y cyd-beilot a alluogir gan ddatblygwr yr wythnos diwethaf, y gweinydd MCP yn rhedeg ar liniadur, y model yn cael ei dynnu'n syth o ganolfan gyhoeddus i brosiect ochr. Nid achos ymyl yw hwn. Mewn arolwg yn 2026 o 400+ o arweinwyr diogelwch, dim ond Nododd 19% welededd llawn i ble a sut mae deallusrwydd artiffisial yn cael ei ddefnyddio ar draws eu sefydliad, tra bod y mwyafrif llethol eisoes yn defnyddio neu'n treialu cynorthwywyr codio AI.
Y deallusrwydd artiffisial cysgodol anoddaf i'w ganfod yw'r deallusrwydd artiffisial y tu mewn i gylchred bywyd y feddalwedd, oherwydd anaml y mae'n ymddangos mewn consol cwmwl:
- Modelau a llyfrgelloedd AI wedi'u tynnu i mewn i ystorfeydd fel dibyniaethau.
- Cynorthwywyr codio AI wedi'u ffurfweddu fesul datblygwr, fesul IDE.
- Gweinyddion MCP a ffeiliau rheolau sy'n rhedeg yn lleol ar bwyntiau terfyn datblygwyr.
- Llifau gwaith asiant yn agor yn dawel pull requests neu osod pecynnau.
Dyma pam nad yw darganfod yn y cwmwl yn unig yn ddigon. Rhaid i restr eiddo deallusrwydd artiffisial wirioneddol gyflawn gyrraedd amgylcheddau cod ac adeiladu (gliniadur y datblygwr, yr ystorfa, y pipeline), nid y cwmwl cynhyrchu yn unig.
Beth sy'n perthyn i AI-BOM
Mae AI-BOM sy'n barod ar gyfer archwiliad yn troi eich rhestr eiddo yn rhywbeth y gallwch ei brofi. O leiaf, dylai gynnwys:
- Pob ased AI: modelau, setiau data, asiantau, gweinyddion MCP, offer codio AI.
- Math o ased, lleoliad a hyder canfod ar gyfer pob un.
- Tarddiad a dibyniaethau (o ble ddaeth y model neu'r gydran).
- Lefel risg fesul ased, yn seiliedig ar fectorau ymosod penodol i AI.
- Mapio rheoleiddiol i Ddeddf AI yr UE, NIST AI RMF ac ISO/IEC 42001.
- Fformat y gellir ei allforio, y gellir ei ddarllen gan beiriant ar gyfer archwilwyr a chwsmeriaid.
Bydd gan y sefydliadau a all gynhyrchu BOM AI ar alw fantais gydymffurfiaeth ac ymddiriedaeth go iawn wrth i rwymedigaethau archwilio AI aeddfedu.
Rhestr eiddo a chydymffurfiaeth AI: Deddf AI yr UE, NIST AI RMF ac ISO/IEC 42001
Nid oes yr un o'r prif fframweithiau yn enwi "rhestr eiddo AI" fel eitem llinell, ond mae pob un yn amhosibl i'w bodloni hebddynt. Ni allwch ddogfennu, dosbarthu na llywodraethu systemau AI na allwch eu gweld.
Nodyn ar amseru: cafodd cyflwyniad Deddf AI yr UE ei ddiwygio gan gytundeb “Omnibus Digidol” Mai 2026, a ohiriodd y rhan fwyaf o rwymedigaethau risg uchel tan Ragfyr 2027, gan gadw sawl carreg filltir ar 2 Awst 2026 yn fyw (dyletswyddau tryloywder, pwerau cosbi GPAI). Trin dyddiadau union fel targed symudol a chadarnhewch yn erbyn ffynonellau cynradd yr UE. Ond mae cyfeiriad y daith yn glir, a rhestr eiddo yw'r rhagofyniad ar gyfer y cyfan.
Sut i adeiladu a chynnal rhestr eiddo AI
Mae adeiladu rhestr eiddo yn ymwneud llai ag archwiliad untro ac yn fwy â sefydlu proses barhaus, oherwydd bod asedau AI yn newid yn gyson: modelau newydd yn cael eu mabwysiadu, asiantau newydd yn cael eu defnyddio, gweinyddion MCP newydd yn cael eu ffurfweddu, yn aml heb gymeradwyaeth.
Dull ymarferol:
- Darganfod yn awtomatig ar draws cod, adeiladu a chwmwl. Mae taenlenni â llaw yn mynd yn hen ffasiwn o fewn dyddiau. Mae'n rhaid i ddarganfod redeg yn barhaus a chyrraedd i mewn i'r SDLC, nid amser rhedeg yn unig.
- Dosbarthu a mapio perthnasoedd. Math o gofnod, lleoliad, tarddiad ac, yn hollbwysig, sut mae pob ased yn cysylltu ag eraill ac â chyfrinachau.
- Sgorio risg mewn cyd-destun. Nid yw rhestr wastad o gannoedd o ganfyddiadau o gymorth i neb; blaenoriaethwch yn ôl yr hyn sydd mewn gwirionedd yn hygyrch, yn ecsbloetiadwy ac yn hanfodol i fusnes.
- Neilltuo perchnogaeth. Mae angen perchennog atebol ar bob ased.
- Cadwch ef yn fyw ac yn allforiadwy. Cynnal a chadw fel rhestr eiddo barhaus a all gynhyrchu AI-BOM ar alw.
Beth i chwilio amdano mewn meddalwedd rhestr eiddo AI
Os ydych chi'n gwerthuso offer, dyma'r galluoedd sy'n gwahanu meddalwedd rhestr eiddo AI dilys oddi wrth restr statig:
- Yn deall mathau o asedau sy'n benodol i AI (modelau, asiantau, gweinyddion MCP, setiau data), nid pecynnau a llyfrgelloedd yn unig.
- Yn cyrraedd i mewn i'r SDLC, darganfod AI mewn cod ac ar bwyntiau terfyn datblygwyr, nid yn y cwmwl yn unig.
- Perthnasoedd mapiau, nid asedau unigol yn unig, felly mae risg yn weladwy yn ei chyd-destun.
- Sgoriau risg ar fectorau ymosod penodol i AI (chwistrelliad prydlon, MCP ansicr, asiantaeth ormodol), nid difrifoldeb CVE yn unig.
- Yn rhedeg yn barhaus, yn dal AI newydd fel mae'n ymddangos.
- Yn cynhyrchu AI-BOM sy'n barod ar gyfer archwiliad sy'n bodloni archwilwyr a enterprise caffael.
- Yn cysylltu rhestr eiddo â gorfodi, fel y gallwch chi weithredu ar yr hyn a gewch chi.
O rhestr eiddo i weithredu: sicrhau'r hyn a gewch
Darganfod yw'r cam cyntaf; yr ail yw deall pa asedau sy'n cario risg wirioneddol, oherwydd ni fydd gan y rhan fwyaf. Y nod yw symud o filoedd o ganfyddiadau crai i'r llond llaw a all beryglu systemau, data neu weithrediadau mewn gwirionedd: y rhai sydd mewn defnydd gweithredol, yn derbyn mewnbwn annibynadwy, y gellir eu hecsbloetio'n realistig, yn dal mynediad sensitif, ac yn effeithio ar gynhyrchu neu asedau rheoleiddiedig.
Dyma lle mae Rheoli Ystum Diogelwch AI (AI-SPM) yn codi: cymryd y rhestr eiddo, sgorio risg ar hyd llwybr ymosodiad AI, ei mapio i reoleiddio, a chynhyrchu'r AI-BOM. Dyma hefyd lle mae rhestr eiddo yn cwrdd â gorfodi: rhwystro dibyniaethau maleisus cyn iddynt osod, gwrthod gweinyddion a modelau MCP heb eu cymeradwyo, a chynnwys pwyntiau terfyn sydd wedi'u peryglu cyn i ddigwyddiad ledaenu.
At Xygeni, dyma'r model rydyn ni'n ei adeiladu tuag ato: rhestr eiddo AI barhaus ac AI-BOM trwy AI-SPM, canfod meddalwedd faleisus sy'n dal pecynnau maleisus cyn bod llofnod yn bodoli (MEW, Rhybudd Cynnar Meddalwedd Maleisus), a gorfodi polisi ar bwynt terfynol y datblygwr trwy Xygeni Shield. Mae canfod wedi'i alinio â 10 Uchaf OWASP ar gyfer Cymwysiadau LLM, 10 Uchaf OWASP ar gyfer Apiau Agentic a 10 Uchaf OWASP MCP. Ond pa bynnag ddull a ddewiswch, mae'r egwyddor yn dal: ni allwch sicrhau'r hyn na allwch ei weld, a rhestr eiddo AI yw lle mae gwelededd yn dechrau.
Cwestiynau Mwyaf Cyffredin
Sut mae AI-BOM yn wahanol i SBOM?
An SBOM yn catalogio dibyniaethau meddalwedd ffynhonnell agored a thrydydd parti, wedi'u sgorio ar ddifrifoldeb CVE. Mae AI-BOM yn catalogio asedau penodol i AI (modelau, asiantau, gweinyddion MCP, setiau data) gyda sgorio risg penodol i AI a mapio rheoleiddiol. Wrth i AI ledaenu ar draws y SDLC, mae'r AI-BOM yn dod mor sylfaenol â'r SBOM.
Beth yw AI cysgodol a sut ydw i'n ei ddarganfod?
Deallusrwydd Artiffisial Cysgodol yw unrhyw ddeallusrwydd artiffisial a fabwysiadwyd heb gymeradwyaeth ffurfiol na llywodraethu: cyd-beilot wedi'i alluogi, gweinydd MCP lleol, model a dynnwyd o ganolfan gyhoeddus. Rydych chi'n ei ddarganfod gyda rhestr eiddo awtomataidd barhaus sy'n cyrraedd i mewn i god, adeiladu. pipelinea phwyntiau terfyn datblygwyr, nid dim ond y cwmwl cynhyrchu lle nad yw'r rhan fwyaf o AI cysgodol byth yn ymddangos.
A yw Deddf AI yr UE yn ei gwneud yn ofynnol i gael rhestr eiddo AI?
Nid yw Deddf AI yr UE yn enwi “rhestr eiddo AI” yn benodol, ond mae ei dyletswyddau dogfennu, dosbarthu a chofrestru ar gyfer systemau risg uchel yn amhosibl i’w cyflawni heb un. Mae’r un peth yn wir am RMF AI NIST (swyddogaeth Map, Govern 1.6) ac ISO/IEC 42001, sy’n ei gwneud yn ofynnol cynnal rhestr eiddo o systemau AI.
Beth yw AI-SPM?
Rheoli Ystum Diogelwch AI (AI-SPM) yw'r arfer o ddarganfod asedau AI yn barhaus, sgorio eu risg ar hyd llwybr ymosodiad AI, eu mapio i reoleiddio, a chynhyrchu AI-BOM. Mae'n ymestyn meddwl rheoli ystum (sy'n gyfarwydd o CSPM a DSPM) i asedau a fectorau ymosod penodol i AI.
Pa mor aml y dylid diweddaru rhestr eiddo AI?
Yn barhaus. Mae asedau AI yn newid yn ddyddiol wrth i dimau fabwysiadu modelau newydd, defnyddio asiantau newydd a ffurfweddu gweinyddion MCP newydd, fel arfer heb gymeradwyaeth ffurfiol. Mae sgan ar adeg benodol yn hen ffasiwn o fewn dyddiau, felly mae meddalwedd rhestr eiddo AI effeithiol yn rhedeg fel proses barhaus yn hytrach nag archwiliad untro.
Sut ydw i'n rhestru AI a ddefnyddir mewn cod ffynhonnell?
Mae rhestru AI mewn cod yn golygu canfod modelau a llyfrgelloedd AI wedi'u tynnu i mewn fel dibyniaethau, cynorthwywyr codio AI wedi'u ffurfweddu fesul datblygwr, a gweinyddion MCP neu ffeiliau rheolau sy'n rhedeg yn lleol. Mae hyn yn gofyn am ddarganfod sy'n gweithredu y tu mewn i'r SDLC (ystorfeydd, adeiladu pipelines a phwyntiau terfyn datblygwyr) yn hytrach nag mewn consolau cwmwl yn unig.
