ML-BOM (bilêta materyalan a fêrbûna makîneyê) envanterek xwendin-makîneyî ya model, setên daneyan, çarçove û girêdayîbûnên ku pergalek AI pêk tînin e, digel ku her yek ji wan ji ku hatiye.
- Çima ew heye: kevneşopiyek SBOM pirtûkxaneyên kodê navnîş dike. Ew modelek, daneyên wê yên perwerdeyê an jî çavkaniya wê rave nake.
- Format: CycloneDX ML-BOM (standardwekî ECMA-424) û profîlên SPDX 3.0 AI û Dataset (tê destnîşankirin).
- Rêbername: G7 SBOM ji bo AI: Hêmanên herî kêm, ku di Gulana 2026an de hatiye weşandin, heft komên daneyan destnîşan dike. Ew bi dilxwazî ye.
- Beşa dijwar: ne format. Ew di serî de dîtina her hebûneke AI ye.
Pênasîn: ML-BOM çi ye? #
Ji piraniya tîmên endezyariyê bipirsin ka serîlêdana wan kîjan pirtûkxaneyên çavkaniya vekirî bikar tîne û ew dikarin di çend hûrdeman de bersiv bidin, ji ber ku wan SBOM ji wan re dibêje. Bipirse ka heman serîlêdan bi kîjan model, setên daneyan û çarçoveyên AI ve girêdayî ye, û bersiv bi gelemperî bi "bila ez kontrol bikim" dest pê dike.
ML-BOM wê valatiyê digire. Ew wekhevê AI-ê yê lîsteya materyalên nermalavê ye: qeydek birêkûpêk, xwendî ya makîneyê ya her pêkhateya fêrbûna makîneyê di pergalê de. Ji bo her modelek, ew nasname, guherto, dabînker û lîsansê tomar dike, û her weha hûrguliyên SBOM qet pêwîst nebûye, wekî setên daneyê yên ku li ser wan hatiye perwerdekirin, karanîna wê ya mebestkirî û sînorkirinên wê yên zanîn.
Term ji tê CycloneDX, ku piştgiriya ML-BOM di guhertoya 1.5 de zêde kir. Her weha hûn ê bibînin AI-BOM û SBOM ji bo AI ji bo heman ramanê tê bikar anîn, bi gelemperî bi çarçoveyek berfirehtir ku ne tenê modelên perwerdekirî, lê ajan, pêşniyar û karûbarên AI jî dihewîne.
ML-BOM çi dihewîne #
Zeviyên rast bi formatê ve girêdayî ne, lê ML-BOM-ek bikêrhatî bersiva pênc pirsan li ser her pêkhateya AI-ê dide:
- Çiye? Navê modelê, guhertoy, celeb û mîmarî.
- Ji ku derê hat? Pêşkêşvan, depoya çavkaniyê an navenda modelê, û lîsans.
- Li ser çi hat perwerdekirin? Setên daneyê yên hatine bikaranîn, jêderka wan û her hesasiyeta wan a zanîn.
- Ew bi çi ve girêdayî ye? Çarçove, pirtûkxane û binesaziya ku ew hewce dike ku bixebite.
- Sînorên wê çi ne? Bikaranîna armanckirî, xetereyên naskirî û taybetmendiyên performansê.
Rêbernameya G7 heman ramanan di heft koman de kom dike: metadata, taybetmendiyên asta pergalê, model, taybetmendiyên daneyê, binesazî, taybetmendiyên ewlehiyê û nîşaneyên performansa sereke.
ML-BOM li dijî SBOM #
ML-BOM li şûna ... nagire. SBOMSîstemên AI hîn jî nermalav in, ji ber vê yekê hîn jî pêdiviya wan bi yekê heye. ML-BOM qatek zêde dike û SBOM nikare bibîne.
| Ebat | SBOM | ML-BOM |
|---|---|---|
| Bêje | Pêkhateyên nermalavê û pirtûkxane | Model, setên daneyan û pêkhateyên ML |
| Zeviyên sereke | Nav, versiyon, dabînker, lîsans, hash | Digel daneyên perwerdeyê, jêderk, karanîna mebestkirî, sînorkirin |
| Rîska sereke ya ku ew dişopîne | Girêdayîbûnên lawaz an jî xerabkar | Modelên ne pêbawer, daneyên jehrî an hesas, eslê wan nediyar e |
| Diguhere dema ku | Girêdaniyek tê nûvekirin | Modelek ji nû ve tê perwerdekirin, guhertin an jî bi awayekî baştir tê sererastkirin. |
| formatên | CycloneDX, SPDX | Profîlên CycloneDX ML-BOM, SPDX 3.0 AI û Dataset |
Çima ML-BOM Niha Girîng in #
AI bêyî vekolînê dikeve nav kodên înternetê. Pêşdebir modelan ji navendên giştî dikişînin, çarçoveyên AI lê zêde dikin û serverên MCP-ê bi hêsanî wekî ku pirtûkxaneyek lê zêde dikin girêdidin. Her yek kod, giranî û daneyên ku rêxistinê nenivîsandiye û dibe ku nenirxandibe, tîne.
Zincîra dabînkirina AI rûbereke êrîşê ye. Ew 10 Serketîyên OWASP ji bo Serlêdanên LLM zincîra dabînkirinê wekî xetere navnîş dike LLM03: modelên xeternak, daneyên jehrî û pakêtên zirardar di nav stûna AI de. Hûn nekarin pêkhateyek ku hûn nizanin li wir heye binirxînin.
Kirrûbir û mufetîş dest bi pirsînê dikin. Tu rêziknameyek ML-BOM bi navî ferz nake. Lê Qanûna AI ya YE ji bo pergalên AI yên xetereya bilind belgekirina teknîkî dixwaze, Qanûna Berxwedana Sîber jî... SBOM, û çarçoveyên wekî ENS ya Spanyayê envanterek sermayeyê hewce dikin. ML-BOM delîla pratîkî ya li pişt her sêyan e, û tîmên kirînê wê li pirsnameyên xwe zêde dikin.
Meriv Çawa ML-BOM-ek Ava Dike #
Nivîsandina bi destan ji bo modelek tenê kar dike. Ji bo rêxistinekê kar nake. Nêzîkatiyek domdar ji sê beşan pêk tê:
- Bi rîskê ve girêbide. Envanterek ku kes li ser wê tevnagere, kaxez e. Divê her pêkhate bi lawaziyên xwe, lîsansa xwe û çavkaniya xwe ve girêdayî be.
- Otomatîkî kifş bike. Kod, girêdayîbûnên diyarkirî û pelên mîhengê sken bike li şûna ku pişta xwe bidî pêşdebiran ku rapor bikin ka ew çi bikar tînin.
- Bi berdewamî hilberînin. Her gava ku modelek, daneyek an girêdayîbûnek diguhere, ML-BOM-ê ji nû ve çêbikin, bi heman awayê ku tîmên gihîştî ji nû ve çêdikin. SBOMs li CI.
Berî ku kesek bipirse, bizanibe hûn çi AI-ê bikar tînin #
Ewlekariya AI ya Xygeni hebûnên AI li seranserê depoyên we kifş dike (model, çarçoveyên AI, setên daneyan, xalên dawî yên texmînê, ajan, serverên MCP, jêhatî, pêşniyar, guardrails û amûrên kodkirina AI-ê yên ku têne bikar anîn) ji koda serîlêdanê, girêdayîbûnên ragihandî û pelên mîhengê yên ku amûrên AI-ê li dû xwe dihêlin. Tiştek ne girêdayî wê yekê ye ku pêşdebiran diyar bikin ka ew çi bikar tînin.
Ji wê envanterê, Xygeni AI-BOM-ek ku ji hêla makîneyê ve tê xwendin çêdike ku hûn dikarin bidin auditor û xerîdaran. Girêdayîyên stacka AI-ê heman dermankirinê wekî mayîya koda we digirin: CVE bi rêya analîza pêkhateya nermalavê, û pakêtên xerabkar berî hebûna îmzeyê têne tespît kirin.
Demoyek plansaz bikin ji bo dîtina AI-BOM-a koda xwe.
Pirs û Bersîv #
ML-BOM lîsteyek pêkhateyên AI ye. Ew tomar dike ka pergalek kîjan model, setên daneyan û çarçove bikar tîne û her yek ji ku derê hatiye, da ku tîmên ewlehî, yasayî û pabendbûnê bikaribin xetereyê binirxînin.
Bi piranî. Tîma sor a LLM li ser modelên ziman û sepanên ku li ser wan hatine çêkirin disekine. Tîma sor a AI Peyv li hev dikevin. ML-BOM navê CycloneDX e û li ser model û setên daneyan ên fêrbûna makîneyê disekine. AI-BOM berfirehtir e û pir caran ajan, pêşniyaran, serverên MCP û karûbarên AI jî dihewîne.
Ne bi nav. Ew delîlên pratîkî ne ji bo erkên ku hene, wekî belgekirina teknîkî ya Qanûna AI ya YE ji bo pergalên xetereya bilind û SBOM ku ji hêla Qanûna Berxwedana Sîber ve tê xwestin. Hêmanên herî kêm ên G7 ji bo SBOM ji bo AI-ê bi dilxwazî ne.
Du formatên damezrandî CycloneDX ML-BOM in, standardwekî ECMA-424 hatîye destnîşankirin, û SPDX 3.0 Profîlên AI û Dataset. Ya ku hûn heyî hilbijêrin SBOM Amûr jixwe piştgirî dike, ji ber vê yekê nermalav û envanterên AI bi hev re dijîn.
