An Envantè IA se yon katalòg ki toujou ap mete ajou pou chak byen IA k ap fonksyone nan tout òganizasyon w lan — modèl, pwen final ki mache ak IA, ansanm done, asistan kodaj IA, sèvè MCP ak depandans IA — ansanm ak relasyon yo, risk yo ak pwopriyetè ki konekte yo. Nan yon kontèks sekirite sa pa gen anyen pou wè ak jesyon depo oswa envantè machandiz; isit la, "Envantè IA" vle di tou senpleman konnen egzakteman ki IA w ap itilize, ki kote li ye, ak sa li ka rive.
Kòm IA ap gaye nan chak etap devlopman lojisyèl, soti nan jenerasyon kòd nan IDE a rive nan ajan otonòm k ap aji anndan CI/CD pipelines, kesyon an pa si gen IA nan anviwònman ou ankò. Se si ou ka wè li. Gid sa a eksplike kisa yon envantè IA ye, kijan li gen rapò ak yon IA-BOM ak yon SBOM, poukisa lonbraj AI vin tounen yon pwoblèm sekirite, epi kijan pratik la mache ak la Lwa AI Inyon Ewopeyen an, NIST AI RMF ta dwe apwouve bèso tibebe w la epi ISO / IEC 42001.
Takeaways kle yo
- Yon envantè IA kataloge tout modèl, ansanm done, ajan, sèvè MCP ak zouti kodaj IA pandan tout sik lavi lojisyèl ou a, pa sèlman sa yo ke IT apwouve.
- Lonbraj AI, IA adopte san gouvènans, se kounye a nòm nan, pa eksepsyon an: nan yon sondaj an 2026 ki te fèt ak lidè sekirite yo, sèlman 19% nan òganizasyon yo rapòte ke yo gen yon vizibilite konplè sou kote ak kijan yo itilize IA..
- An AI-BOM (Lis Materyèl IA) se rezilta yon envantè IA ki pare pou odit: siksesè epòk IA a pou SBOM.
- Règleman ap rive. Lwa Inyon Ewopeyen an sou Entèlijans Atifisyèl (IA), NIST AI RMF ak ISO/IEC 42001 tout egzije pou ou konnen ki IA w ap opere.
- Yon envantè se sèlman pwen depa a; valè a soti nan evalye risk la epi aji sou ti kantite byen ki vrèman enpòtan yo.
Kisa yon envantè IA ye?
Yon envantè IA se pratik pou dekouvri, kataloge epi kontwole kontinyèlman chak byen IA k ap opere pandan tout sik lavi devlopman lojisyèl ou a, ak risk ki asosye ak chak youn. Yon envantè konplè reponn twa kesyon pou chak byen: kisa li ye, ki kote li fonksyone, e kisa li ka jwenn aksè?
Pòte sa a pi laj pase sa pifò ekip yo espere. Yon envantè IA ki gen sans ta dwe kouvri:
- Modèl: chak gwo modèl lang ak modèl fondasyon ki an itilizasyon atravè devlopman ak pwodiksyon, avèk konfyans nan vèsyon, kote ak deteksyon.
- Datasets: done antrènman, ansanm done rechèch ak depo vektè, ki gen ladan ekspozisyon a kontèks anpwazonnen ak flit done.
- Ajan: sistèm otonòm ki pran aksyon nan anviwònman w lan, tankou louvri pull requests, enstale depandans, oubyen manyen enfrastrikti.
- Sèvè MCP yo: Modèl Kontèks Pwotokòl sèvè ki konekte asistan IA yo ak zouti ekstèn, API ak sous done.
- Zouti ak asistan kodaj IA: kopilòt ak entegrasyon IDE ki jenere kòd, sijere depandans epi kominike avèk depo yo.
- Kad IA yoLangChain, LangGraph, sèvè ajan ak lòt kouch òkestrasyon ki konekte modèl yo ak zouti ak done yo.
- Relasyon ant byen yo: koneksyon ki genyen ant modèl yo, ajan yo, sèvè yo, ansanm done yo ak sekrè ki lye avèk yo. Yon graf relasyon fè risk vizib nan kontèks, pa tankou yon lis plat.
Envantè IA vs envantè byen IA vs IA-BOM, ak kijan yo diferan de yon SBOM
Tèm sa yo itilize yon fason laks, kidonk li itil pou w prevwa.cise. "Envantè IA" ak "envantè byen IA" dekri menm bagay la.: katalòg vivan byen IA yo ak risk yo. Yon AI-BOM se atifak ekspòtab ke envantè pwodui a.yon lis materyèl ki ka li pa machin ou ka remèt bay yon oditè oswa yon enterprise achtè.
Fason ki pi pwòp pou konprann AI-BOM nan se pa analoji ak la SBOM:
Pandan IA ap vin entegre toupatou nan SDLC, AI-BOM nan ap vin fondamantal menm jan ak SBOM, epi lidè sekirite yo ap resevwa de pli zan pli demann nan men oditè ak enterprise ekip akizisyon pou egzakteman atifak sa a.
Poukisa envantè IA enpòtan kounye a
Twa fòs fè envantè IA a soti nan yon bagay ki bon pou genyen an yon priyorite.
- Premyèman, IA ap ekri kòd ki pa an sekirite sou yon gwo echèl. Rechèch endepandan yo toujou montre ke yon gwo pati nan kòd ki pwodui pa entèlijans atifisyèl gen vilnerabilite. Etid orijinal NYU/Copilot la pa Pearce et al. te jwenn apeprè 40% nan pwogram ki te pwodui yo te genyen feblès sekirite., epi tès ki pi resan sou gwo echèl montre menm jan an tou: analiz Veracode an 2025 sou plis pase 100 modèl te jwenn sèlman 55% nan kòd ki te pwodui pa entèlijans atifisyèl te an sekirite.Si ou pa konnen ki asistan k ap jenere kòd nan ou a pipelines, ou pa ka gouvène risk sa a.
- Dezyèmman, chèn ekipman pou lojisyèl la vin tounen yon sifas atak IA. Nan mwa septanm 2025, Shai Hulud, premye vè npm ki te pwopaje tèt li a, te transfòme machin devlopè yo an yon mekanis distribisyon, gaye atravè plizyè santèn pakè. Nan mwa mas 2026, atakè yo te konpwomèt axios, yon pake ki gen apeprè 100 milyon telechajman chak semèn, pibliye vèsyon anpwazonnen ki te lage yon Trojan aksè a distans. Atak tankou sa yo rive egzakteman nan kouch ki genyen ant AppSec tradisyonèl la ak zouti pwen final yo: kouch yon envantè IA bati pou klere.
- Twazyèmman, sekrè ak kalifikasyon ap koule atravè IA. GitGuardian's State of Secrets Sprawl 2026 rapòte ke Fwit sekrè sèvis IA yo ogmante 81% ane apre ane., epi ke asistans entèlijans atifisyèl la commits leak secrets a apeprè de fwa pi vit pase vitès debaz la. Chak modèl, ajan oswa sèvè MCP ki pa gen dokiman se yon chemen potansyèl pou jwenn yon kalifikasyon.
AppSec tradisyonèl la rete nan depo a epi li pa konprann sa yon modèl ye. Zouti pwen final yo siveye sistèm operasyon an men yo pa konprann pakè yo, sèvè MCP yo oswa asistan IA yo. Espas ki genyen ant yo a se kote risk IA a akimile, epi yon envantè se premye etap pou fèmen li.
Kote IA kache: Lonbray IA atravè SDLC
Lonbraj AI Èske gen nenpòt sistèm IA ki adopte san apwobasyon fòmèl oswa gouvènans: kopilòt yon devlopè te aktive semèn pase a, sèvè MCP a k ap fonksyone sou yon laptop, modèl la rale dirèkteman soti nan yon sant piblik nan yon pwojè bò. Se pa yon ka limit. Nan yon sondaj an 2026 ki te fèt sou plis pase 400 lidè sekirite, sèlman 19% rapòte yon vizibilite konplè sou ki kote ak kijan yo itilize IA. nan tout òganizasyon yo a, alòske majorite a te deja ap itilize oswa ap pilote asistan kodaj ak IA.
IA nan lonbraj ki pi difisil pou jwenn se IA ki andedan sik lavi lojisyèl la, paske li raman parèt nan yon konsole nwaj:
- Modèl ak bibliyotèk IA yo rale nan depo kòm depandans.
- Asistan kodaj IA yo configuré pa devlopè, pa IDE.
- Sèvè MCP ak dosye règ k ap fonksyone lokalman sou pwen final devlopè yo.
- Workflows ajantik yo ap louvri san fè bri. pull requests oubyen enstale pakè yo.
Se poutèt sa dekouvèt nan nwaj la sèlman pa sifi. Yon envantè IA ki vrèman konplè dwe rive nan kòd la epi konstwi anviwònman yo (laptop devlopè a, depo a,...). pipeline), pa sèlman nwaj pwodiksyon an.
Ki sa ki dwe nan yon AI-BOM
Yon IA-BOM pare pou odit transfòme envantè ou an yon bagay ou ka pwouve. Omwen, li ta dwe gen ladan:
- Tout byen IA: modèl, ansanm done, ajan, sèvè MCP, zouti kodaj IA.
- Kalite byen, kote ak konfyans deteksyon pou chak.
- Provenans ak depandans (kote modèl la oswa konpozan an soti).
- Yon nivo risk pou chak byen, ki baze sou vektè atak espesifik IA.
- Konfòmite regilasyon ak Lwa Inyon Ewopeyen sou Entèlijans Atifisyèl (IA), NIST IA RMF ak ISO/IEC 42001.
- Yon fòma ekspòtab ak lizib pa machin pou oditè ak kliyan.
Òganizasyon ki ka jenere yon AI-BOM sou demann pral gen yon avantaj konfòmite ak konfyans reyèl pandan obligasyon odit AI yo ap devlope.
Envantè ak konfòmite IA: Lwa Inyon Ewopeyen sou IA, NIST AI RMF ak ISO/IEC 42001
Okenn nan gwo kad travay yo pa nonmen "envantè IA" kòm yon atik, men li enposib pou satisfè chak youn san li. Ou pa ka dokimante, klase oswa gouvène sistèm IA ou pa ka wè.
Yon nòt sou kalandriye a: akò "Digital Omnibus" Me 2026 la te revize deplwaman Lwa Inyon Ewopeyen an sou Entèlijans Atifisyèl la, ki te ranvwaye pifò obligasyon ki gen gwo risk pou Desanm 2027, tout pandan y ap kenbe plizyè etap enpòtan 2 Out 2026 yo an vigè (devwa transparans, pouvwa penalite GPAI). Trete dat egzak yo kòm yon sib k ap deplase epi konfime ak sous prensipal Inyon Ewopeyen yo. Men, direksyon vwayaj la klè, epi envantè se prekondisyon pou tout bagay sa yo.
Kijan pou konstwi epi kenbe yon envantè IA
Bati yon envantè mwens konsène yon odit yon sèl fwa epi plis sou etabli yon pwosesis kontinyèl, paske byen IA yo chanje tout tan: nouvo modèl yo adopte, nouvo ajan deplwaye, nouvo sèvè MCP yo konfigire, souvan san apwobasyon.
Yon apwòch pratik:
- Dekouvri otomatikman atravè kòd, konstriksyon ak nwaj la. Fèy kalkil manyèl yo vin demode nan kèk jou. Dekouvèt la dwe fonksyone san rete epi rive nan SDLC, pa sèlman tan ekzekisyon.
- Klasifye epi trase relasyon yo sou kat jeyografik. Kalite anrejistreman, kote li ye a, orijin li epi, sitou, kijan chak byen konekte ak lòt moun epi ak sekrè yo.
- Risk pou bay nòt nan kontèks. Yon lis plat ak plizyè santèn rezilta pa ede pèsonn; bay priyorite selon sa ki reyèlman aksesib, eksplwatab e kritik pou biznis la.
- Bay pwopriyetè. Chak byen bezwen yon mèt responsab.
- Kenbe li aktif epi ou ka ekspòte li. Kenbe li kòm yon envantè kontinyèl ki ka pwodui yon AI-BOM sou demann.
Ki sa pou chèche nan lojisyèl envantè IA
Si w ap evalye zouti, men kapasite sa yo ki distenge lojisyèl envantè IA otantik ak yon lis estatik:
- Konprann kalite byen espesifik pou IA (modèl, ajan, sèvè MCP, ansanm done), pa sèlman pakè ak bibliyotèk.
- Rive nan SDLC, dekouvri IA nan kòd ak sou pwen final devlopè yo, pa sèlman nan nwaj la.
- Relasyon kat yo, pa sèlman byen endividyèl, kidonk risk la vizib nan kontèks.
- Risk nòt sou vektè atak espesifik IA yo (enjeksyon rapid, MCP ensekirite, twòp ajans), pa sèlman gravite CVE.
- Kouri kontinyèlman, trape nouvo IA jan li parèt.
- Pwodui yon IA-BOM pare pou odit ki satisfè tou de oditè yo ak enterprise akizisyon.
- Konekte envantè a ak aplikasyon lalwa, pou ou ka aji sou sa ou jwenn.
Soti nan envantè rive nan aksyon: pwoteje sa ou jwenn
Dekouvèt la se premye etap la; dezyèm lan se konprann ki byen ki pote risk reyèl, paske pifò ladan yo pa pral fè sa. Objektif la se pou nou chanje soti nan plizyè milye rezilta brit pou rive nan ti ponyen ki ka aktyèlman konpwomèt sistèm, done oswa operasyon yo: sa yo ki an itilizasyon aktif, ki aksepte enfòmasyon ki pa fyab, ki ka eksplwate yon fason reyalis, ki gen aksè sansib, epi ki afekte pwodiksyon oswa byen reglemante yo.
Se la Jesyon Postura Sekirite IA a (IA-SPM) ranmase: pran envantè a, evalye risk yo sou chemen atak IA a, trase li nan règleman an, epi pwodui IA-BOM nan. Se la tou envantè a rankontre aplikasyon lalwa: bloke depandans move yo anvan yo enstale, rejte sèvè ak modèl MCP ki pa apwouve, epi kontwole pwen final konpwomèt yo anvan yon ensidan gaye.
At Xygeni, men modèl nou pral bati pou l ale: envantè kontinyèl IA ak IA-BOM atravè IA-SPM, deteksyon malveyan ki detekte pakè move anvan yon siyati egziste (MEW, Avètisman Bonè sou Malveyan), ak aplikasyon règleman nan pwen final devlopè a atravè Xygeni Shield. Deteksyon an aliyen ak OWASP Top 10 pou Aplikasyon LLM, OWASP Top 10 pou Aplikasyon Agentic ak OWASP MCP Top 10. Men, kèlkeswa apwòch ou chwazi a, prensip la kenbe: Ou pa ka pwoteje sa ou pa ka wè, epi yon envantè IA se kote vizibilite a kòmanse.
FAQ
Ki diferans ki genyen ant yon AI-BOM ak yon SBOM?
An SBOM katalòg depandans lojisyèl sous ouvè ak twazyèm pati, ki gen nòt sou gravite CVE. Yon AI-BOM katalòg byen espesifik IA (modèl, ajan, sèvè MCP, ansanm done) ak nòt risk espesifik IA ak map regilasyon. Pandan IA ap gaye atravè SDLC, AI-BOM nan ap vin fondamantal menm jan ak SBOM.
Kisa IA nan lonbraj ye e kijan mwen ka dekouvri li?
IA nan lonbraj la se nenpòt IA adopte san apwobasyon fòmèl oswa gouvènans: yon kopilòt aktive, yon sèvè MCP lokal, yon modèl ki soti nan yon sant piblik. Ou dekouvri li avèk yon envantè otomatik kontinyèl ki rive nan kòd, konstriksyon. pipelines ak pwen final devlopè yo, pa sèlman nwaj pwodiksyon an kote pifò IA lonbraj la pa janm parèt.
Èske Lwa Inyon Ewopeyen an sou IA egzije yon envantè IA?
Lwa Inyon Ewopeyen an sou IA pa nonmen "envantè IA" eksplisitman, men li enposib pou satisfè devwa dokimantasyon, klasifikasyon ak anrejistreman pou sistèm ki gen gwo risk san youn. Menm bagay la tou vre pou NIST IA RMF (fonksyon Map, Govern 1.6) ak ISO/IEC 42001, ki egzije pou kenbe yon envantè sistèm IA yo.
Kisa IA-SPM ye?
Jesyon Postura Sekirite IA (IA-SPM) se pratik pou dekouvri byen IA kontinyèlman, evalye risk yo sou chemen atak IA a, trase yo nan yon liy ak règleman, epi pwodui yon IA-BOM. Li pwolonje panse jesyon postur (ki familye ak CSPM ak DSPM) pou byen espesifik IA ak vektè atak.
Konbyen fwa yo ta dwe mete yon envantè IA ajou?
Kontinyèlman. Resous IA yo chanje chak jou pandan ekip yo ap adopte nouvo modèl, deplwaye nouvo ajan epi konfigire nouvo sèvè MCP, anjeneral san apwobasyon fòmèl. Yon eskanè nan yon moman espesifik vin pa itil nan kèk jou, kidonk yon lojisyèl envantè IA efikas fonksyone kòm yon pwosesis kontinyèl olye de yon odit yon sèl fwa.
Kouman mwen ka fè envantè IA ki itilize nan kòd sous la?
Fè envantè IA nan kòd vle di detekte modèl ak bibliyotèk IA ki rale kòm depandans, asistan kodaj IA ki configuré pa devlopè, ak sèvè MCP oswa dosye règ k ap fonksyone lokalman. Sa mande pou dekouvèt ki opere andedan... SDLC (repozitwa, konstwi pipelines ak pwen final devlopè) olye ke sèlman nan konsole nwaj yo.
