An Жасалма инвентаризация бул сиздин уюмуңузда иштеп жаткан ар бир жасалма интеллект активинин тынымсыз жаңыланып туруучу каталогу — моделдер, жасалма интеллект менен иштеген акыркы чекиттер, маалыматтар топтому, жасалма интеллект коддоо жардамчылары, MCP серверлери жана жасалма интеллекттин көз карандылыктары — аларды байланыштырган мамилелер, тобокелдиктер жана ээлери менен бирге. Коопсуздук контекстинде мунун кампа же товардык запастарды башкарууга эч кандай тиешеси жок; бул жерде, "Жасалма инвентаризация" жөн гана сиз кайсы жасалма интеллектти колдонуп жатканыңызды, ал кайда жашаарын жана эмнеге жете аларын так билүү дегенди билдирет.
Жасалма интеллект программалык камсыздоону иштеп чыгуунун ар бир этабында, IDEде код түзүүдөн баштап, ичинде иштеген автономдуу агенттерге чейин жайылып баратат. CI/CD pipelineс, маселе мындан ары сиздин чөйрөңүздө жасалма интеллект бар же жок экендигинде эмес. Кеп аны көрө алаарыңыздабы же жокпу. Бул колдонмодо жасалма интеллекттин инвентаризациясы эмне экени жана анын ... менен кандай байланышы бар экени түшүндүрүлөт AI-BOM жана SBOM, неге көлөкө AI коопсуздук көйгөйүнө айланды жана бул практика кандайча ишке ашат ЕБ AI актысы, NIST AI RMF жана ISO / IEC 42001.
Негизги takeaways
- Жасалма инвентаризация IT тарабынан бекитилгендерди гана эмес, программалык камсыздоонун жашоо циклиндеги ар бир моделди, маалымат топтомун, агентти, MCP серверин жана AI коддоо куралын каталогдойт.
- Shadow AIБашкаруусуз кабыл алынган жасалма интеллект азыр өзгөчөлүк эмес, норма болуп калды: 2026-жылы коопсуздук жетекчилеринин бир сурамжылоосунда, бир гана Уюмдардын 19% жасалма интеллекттин кайда жана кантип колдонулаарын толук көрө алышканын билдиришти.
- An AI-BOM (Жасалма интеллекттин материалдарынын тизмеси) бул жасалма инвентаризациянын аудитке даяр натыйжасы: жасалма инвентаризация доорундагы мураскер SBOM.
- Жобо кабыл алынууда. Европа Биримдигинин жасалма интеллект жөнүндө мыйзамы, NIST жасалма интеллект боюнча RMF жана ISO/IEC 42001 сизден кайсы жасалма интеллектти колдонуп жатканыңызды билүүнү талап кылат.
- Товардык-материалдык баалуулуктар – бул баштапкы чекит гана; баалуулук тобокелдикти баалоодон жана чындап маанилүү болгон аз сандагы активдерге иш-аракет кылуудан келип чыгат.
Жасалма инвентаризация деген эмне?
Жасалма инвентаризация – бул программалык камсыздоону иштеп чыгуу циклиңизде иштеп жаткан ар бир жасалма инвентаризация активин жана алардын ар бирине байланыштуу тобокелдиктерди табуу, каталогдоштуруу жана үзгүлтүксүз көзөмөлдөө практикасы. Толук инвентаризация ар бир актив боюнча үч суроого жооп берет: ал эмне, ал кайда иштейт жана ал эмнеге кире алат?
Бул көлөм көпчүлүк командалар күткөндөн да кеңири. Маанилүү жасалма инвентаризация төмөнкүлөрдү камтышы керек:
- моделдерииштеп чыгуу жана өндүрүү учурунда колдонулган ар бир ири тил модели жана фундаменталдык модел, версиясы, жайгашкан жери жана аныктоо ишенимдүүлүгү менен.
- Datasets: окутуу маалыматтары, издөө маалыматтар топтомдору жана вектордук сактагычтар, анын ичинде ууланган контекстке жана маалыматтардын агып кетишине дуушар болуу.
- Ишенимдүү: ачуу сыяктуу чөйрөңүздө аракеттерди жасаган автономдуу системалар pull requests, көз карандылыктарды орнотуу же инфраструктурага тийүү.
- MCP серверлери: Контексттик протоколдун модели AI жардамчыларын тышкы куралдарга, APIлерге жана маалымат булактарына туташтырган серверлер.
- Жасалма интеллект коддоо куралдары жана жардамчылары: код жаратуучу copilot жана IDE интеграциялары, көз карандылыктарды сунуштоо жана репозиторийлер менен өз ара аракеттенүү.
- Жасалма интеллект алкактарыLangChain, LangGraph, агент серверлери жана моделдерди куралдарга жана маалыматтарга байланыштырган башка оркестрлештирүү катмарлары.
- Активдердин ортосундагы мамилелер: моделдердин, агенттердин, серверлердин, маалымат топтомдорунун жана аларга байланыштуу сырлардын ортосундагы байланыштар. Байланыш графиги тобокелдикти жалпак тизме катары эмес, контекстте көрүнүп турат.
Жасалма инвентаризация жана жасалма интеллект активдеринин инвентаризациясы жана жасалма интеллект-BOM жана алардын түзүлүшүнөн эмнеси менен айырмаланат SBOM
Бул терминдер эркин колдонулат, андыктан алдын ала билүү жардам беретcise. "Жасалма интеллекттин инвентаризациясы" жана "Жасалма интеллекттин активдеринин инвентаризациясы" бир эле нерсени сүрөттөйт: жасалма интеллект активдеринин жана алардын тобокелдиктеринин тирүү каталогу. AI-BOM - бул инвентаризация өндүргөн экспорттоого жарамдуу артефактаудиторго же аудиторго бере турган машина окуй турган материалдардын тизмеси enterprise сатып алуучу.
AI-BOMду түшүнүүнүн эң таза жолу - бул аналогия аркылуу SBOM:
Жасалма интеллект кеңири таралган сайын SDLC, AI-BOM сыяктуу эле фундаменталдуу болуп баратат SBOMжана коопсуздук жетекчилери аудиторлордон жана enterprise дал ушул артефакт үчүн сатып алуу топтору.
Эмне үчүн жасалма интеллекттин инвентаризациясы азыр маанилүү
Үч күч жасалма интеллекттин инвентаризациясын жакшы нерседен артыкчылыктуу нерсеге айландырды.
- Биринчиден, жасалма интеллект кооптуу кодду масштабдуу түрдө жазып жатат. Көз карандысыз изилдөөлөр жасалма интеллект тарабынан түзүлгөн коддордун көпчүлүк бөлүгү кемчиликтерге ээ экенин дайыма аныктап келишет. Пирс жана башкалар тарабынан жүргүзүлгөн NYU/Copilot изилдөөсүндө болжол менен аныкталган. Түзүлгөн программалардын 40% коопсуздук кемчиликтерин камтыган, жана акыркы ири масштабдуу сыноолордун жыйынтыктары да ушундай эле: Veracode компаниясынын 2025-жылдагы 100дөн ашык моделдер боюнча анализи гана табылган Жасалма интеллект тарабынан түзүлгөн коддун 55% коопсуз болгонЭгер сиз кайсы жардамчылар сиздин компьютериңизде код түзүп жатканын билбесеңиз. pipelineс., сиз ал тобокелдикти башкара албайсыз.
- Экинчиден, программалык камсыздоо чынжыры жасалма интеллекттин чабуулунун бетине айланды. Сентябрда 2025, Шай Хулуд, биринчи өзүн-өзү көбөйүүчү npm курту, иштеп чыгуучу машиналарды бөлүштүрүү механизмине айландырып, жүздөгөн пакеттерге жайылды. 2026-жылдын март айында чабуулчулар бузулушту Axios, болжол менен бир пакет Аптасына 100 миллион жүктөөлөр, алыстан кирүү троянын түшүргөн ууланган версияларын жарыялоо. Мындай чабуулдар салттуу AppSec жана акыркы чекит куралдарынын ортосундагы катмарга туура келет: жасалма инвентаризация жарыктандыруу үчүн курулган катмар.
- Үчүнчүдөн, жасалма интеллект аркылуу сырлар жана ишеним каттар агып чыгып жатат. GitGuardian компаниясынын "Сырлардын абалы 2026" журналында бул тууралуу кабарланган. Жасалма интеллект кызматтарынын сырларынын агып чыгышы былтыркы жылга салыштырмалуу 81% га өскөнжана жасалма интеллекттин жардамы менен commits leak secretбаштапкы көрсөткүчтөн болжол менен эки эсе жогору. Ар бир документтештирилбеген модель, агент же MCP сервери ишеним грамотасына алып баруучу потенциалдуу жол болуп саналат.
Салттуу AppSec репозиторийде токтоп, моделдин эмне экенин түшүнбөйт. Endpoint куралдары операциялык системаны көзөмөлдөйт, бирок пакеттерди, MCP серверлерин же AI жардамчыларын түшүнбөйт. Алардын ортосундагы аралык AI тобокелдиги топтолгон жерде, ал эми инвентаризация аны жабуунун биринчи кадамы болуп саналат.
Жасалма интеллект жашынган жер: Көмүскө жасалма интеллект SDLC
Shadow AI Расмий бекитүүсүз же башкаруусуз кандайдыр бир жасалма интеллект системасы кабыл алынганбы: иштеп чыгуучу өткөн аптада иштеткен кошумча пилот, ноутбукта иштеген MCP сервери, модель коомдук борбордон түз эле кошумча долбоорго айланган. Бул четки учур эмес. 2026-жылы 400дөн ашык коопсуздук жетекчилеринин катышуусунда жүргүзүлгөн сурамжылоодо гана 19% жасалма интеллект кайда жана кантип колдонулаарын толук көрө алышканын билдиришти алардын уюму боюнча, ал эми басымдуу көпчүлүгү жасалма интеллект коддоо жардамчыларын колдонуп же сынап көрүп жатышкан.
Көмүскө жасалма интеллектти табуу эң кыйын - бул программалык камсыздоонун жашоо циклинин ичиндеги жасалма интеллект, анткени ал булут консолунда сейрек кездешет:
- Моделдер жана AI китепканалары көз карандылык катары репозиторийлерге тартылган.
- Жасалма интеллект коддоо жардамчылары ар бир иштеп чыгуучуга жана ар бир IDEге конфигурацияланган.
- Иштеп чыгуучунун акыркы чекиттеринде жергиликтүү түрдө иштеп жаткан MCP серверлери жана эреже файлдары.
- Агенттик жумуш агымдары тынч ачылууда pull requests же пакеттерди орнотуу.
Ошондуктан булут аркылуу гана издөө жетишсиз. Чындап эле толук жасалма инвентаризация кодго жана курулуш чөйрөлөрүнө (иштеп чыгуучунун ноутбугу, репозиторий, pipeline), жөн гана өндүрүш булуту эмес.
AI-BOMго эмне кирет
Аудитке даяр AI-BOM сиздин инвентаризацияңызды далилдей турган нерсеге айландырат. Жок дегенде, ал төмөнкүлөрдү камтышы керек:
- Ар бир жасалма интеллект активи: моделдер, маалымат топтомдору, агенттер, MCP серверлери, жасалма интеллект коддоо куралдары.
- Ар биринин активинин түрү, жайгашкан жери жана аныктоо ишенимдүүлүгү.
- Келип чыгышы жана көз карандылыктары (модель же компонент кайдан келген).
- Жасалма интеллектке тиешелүү чабуул векторлоруна негизделген ар бир актив үчүн тобокелдик деңгээли.
- Европа Биримдигинин жасалма интеллект боюнча мыйзамына, NIST жасалма интеллект боюнча RMF жана ISO/IEC 42001 стандартына ылайык жөнгө салуучу карта түзүү.
- Аудиторлор жана кардарлар үчүн экспорттоого мүмкүн болгон, машина менен окулуучу формат.
Сурам боюнча AI-BOM түзө алган уюмдар AI аудитинин милдеттенмелери жетилген сайын чыныгы шайкештик жана ишеним артыкчылыгына ээ болушат.
Жасалма инвентаризация жана ага шайкештик: ЕБнин Жасалма интеллект жөнүндө мыйзамы, NIST AI RMF жана ISO/IEC 42001
Негизги алкактардын бири да "ЖИ инвентаризациясын" бир сап катары атабайт, бирок ар бирин ансыз аткаруу мүмкүн эмес. Сиз көрө албаган ЖИ системаларын документтештире, классификациялай же башкара албайсыз.
Убакыт боюнча эскертүү: Европа Биримдигинин жасалма интеллект жөнүндөгү мыйзамын ишке киргизүү 2026-жылдын май айындагы "Санариптик омнибус" келишими менен кайра каралып чыккан, ал жогорку тобокелдик милдеттенмелеринин көпчүлүгүн 2027-жылдын декабрына жылдырган, ошол эле учурда 2026-жылдын 2-августундагы бир нече этаптарды (ачыктык милдеттери, GPAI айып пул ыйгарым укуктары) сактап калган. Так даталарды кыймылдуу максат катары кабыл алып, Европа Биримдигинин негизги булактары менен ырастаңыз. Бирок саякат багыты айкын жана инвентаризация мунун баары үчүн зарыл шарт болуп саналат.
Жасалма инвентаризацияны кантип түзүү жана сактоо керек
Инвентаризацияны түзүү бир жолку аудит жөнүндө эмес, үзгүлтүксүз процессти түзүү жөнүндө көбүрөөк, анткени жасалма интеллект активдери дайыма өзгөрүп турат: жаңы моделдер кабыл алынат, жаңы агенттер жайгаштырылат, жаңы MCP серверлери конфигурацияланат, көбүнчө бекитүүсүз.
Практикалык ыкма:
- Код, курулуш жана булут аркылуу автоматтык түрдө табыңыз. Кол менен жасалган электрондук жадыбалдар бир нече күндүн ичинде эскирип калат. Discovery үзгүлтүксүз иштеп, ага жетип турушу керек SDLC, жөн гана иштөө убактысы эмес.
- Байланыштарды классификациялоо жана картага түшүрүү. Жазуунун түрү, жайгашкан жери, келип чыгышы жана эң негизгиси, ар бир активдин башкалар жана сырлар менен кандай байланышы бар.
- Контекстте тобокелдикти баалоо. Жүздөгөн ачылыштардын тизмеси эч кимге жардам бербейт; эмне чындап жеткиликтүү, колдонууга ылайыктуу жана бизнес үчүн маанилүү экенине жараша артыкчылыктарды белгилеңиз.
- Менчик укугун дайындоо. Ар бир мүлктүн жооптуу ээси болушу керек.
- Аны тирүү жана экспорттоого мүмкүн бойдон калтырыңыз. Аны суроо-талап боюнча AI-BOM чыгара турган үзгүлтүксүз инвентаризация катары сактаңыз.
Жасалма инвентаризация программасында эмнени издөө керек
Эгер сиз куралдарды баалап жатсаңыз, анда чыныгы AI инвентаризация программасын статикалык тизмеден бөлүп турган мүмкүнчүлүктөр төмөнкүлөр:
- Жасалма интеллектке тиешелүү активдердин түрлөрүн түшүнөт (моделдер, агенттер, MCP серверлери, маалымат топтомдору), жөн гана пакеттер жана китепканалар эмес.
- Ичкери жетет SDLC, булутта гана эмес, коддо жана иштеп чыгуучулардын акыркы чекиттеринде жасалма интеллектти табуу.
- Карталардагы байланыштар, жеке активдер гана эмес, ошондуктан тобокелдик контекстте көрүнүп турат.
- Жасалма интеллектке мүнөздүү чабуул векторлорунда тобокелдикти баалайт (тез сайуу, кооптуу MCP, ашыкча агент), жүрөк-кан тамыр ооруларынын оордугу гана эмес.
- Үзгүлтүксүз иштейт, жаңы жасалма интеллектти көрүнгөндөй кармоо.
- Аудитке даяр AI-BOM түзөт бул аудиторлорду да, enterprise сатып алуу.
- Инвентаризацияны аткаруу менен байланыштырат, андыктан сиз тапкан нерсеңизге жараша иш-аракет кыла аласыз.
Инвентаризациядан аракетке чейин: тапканыңызды камсыз кылуу
Ачылыш – биринчи кадам; экинчиси – кайсы активдер чыныгы тобокелчиликке алып келерин түшүнүү, анткени көпчүлүгү андай кылбайт. Максат – миңдеген чийки табылгалардан системаларга, маалыматтарга же операцияларга чындыгында коркунуч келтире турган бир ууч табылгаларга өтүү: активдүү колдонулуп жаткан, ишенимсиз маалыматтарды кабыл алган, реалдуу түрдө эксплуатациялануучу, купуя кирүүгө ээ болгон жана өндүрүшкө же жөнгө салынуучу активдерге таасир этүүчү табылгаларга өтүү.
Бул жерде AI коопсуздук абалын башкаруу (AI-SPM) төмөнкүлөрдү камтыйт: инвентаризацияны алуу, ИИ чабуул жолунда тобокелдиктерди баалоо, аны жөнгө салууга ылайыкташтыруу жана ИИ-BOM түзүү. Ошондой эле, инвентаризациянын аткарылышы менен бетме-бет келген жери: зыяндуу көз карандылыктарды орното электе бөгөттөө, бекитилбеген MCP серверлерин жана моделдерин четке кагуу жана инцидент жайыла электе бузулган акыркы чекиттерди камтуу.
At Ксигени, биз бул моделди курабыз: үзгүлтүксүз жасалма инвентаризация жана AI-SPM аркылуу жасалма инвентаризация, кол тамга пайда боло электе зыяндуу пакеттерди аныктоочу зыяндуу программаларды аныктоо (MEW, Зыяндуу программа боюнча эрте эскертүү), жана Xygeni Shield аркылуу иштеп чыгуучунун акыркы чекитинде саясатты аткаруу. Аныктоо LLM тиркемелери үчүн OWASP Топ 10, Агенттик тиркемелер үчүн OWASP Топ 10 жана OWASP MCP Топ 10 менен шайкеш келет. Бирок кайсы ыкманы тандабаңыз, принцип төмөнкүлөргө шайкеш келет: Көрүнбөгөн нерсени коопсуз сактай албайсыз, ал эми жасалма инвентаризация көрүнүүчүлүктүн башталышы болуп саналат.
Көп берилүүчү суроолор
AI-BOM AIден эмнеси менен айырмаланат? SBOM?
An SBOM ачык булактуу жана үчүнчү тараптын программалык камсыздоосуна көз карандылыкты каталогдордо көрсөтөт, алар CVEнин оордугуна жараша бааланат. AI-BOM AIге тиешелүү активдерди (моделдер, агенттер, MCP серверлери, маалымат топтомдору) AIге тиешелүү тобокелдиктерди баалоо жана жөнгө салуучу картага түшүрүү менен каталогдоштурат. AI жайылып жатканда SDLC, AI-BOM сыяктуу эле фундаменталдуу болуп баратат SBOM.
Көлөкө AI деген эмне жана аны кантип тапсам болот?
Көмүскө жасалма интеллект – бул расмий бекитүүсүз же башкаруусуз кабыл алынган ар кандай жасалма интеллект: иштетилген копилот, жергиликтүү MCP сервери, коомдук хабдан алынган модель. Сиз аны кодго, курулушка жетип, үзгүлтүксүз автоматташтырылган инвентаризация менен табасыз. pipelineжана иштеп чыгуучунун акыркы чекиттери, жөн гана көпчүлүк көмүскө жасалма интеллект эч качан пайда болбогон өндүрүш булуту эмес.
Европа Биримдигинин жасалма интеллект жөнүндөгү мыйзамы жасалма интеллекттин инвентаризациясын талап кылабы?
Европа Биримдигинин жасалма интеллект жөнүндөгү мыйзамында "жасалма интеллекттин инвентаризациясы" деп ачык айтылган эмес, бирок анын жогорку тобокелдиктеги системалар үчүн документтештирүү, классификациялоо жана каттоо милдеттерин ансыз аткаруу мүмкүн эмес. Ошол эле нерсе NIST AI RMF (Map функциясы, Govern 1.6) жана ISO/IEC 42001 үчүн да тиешелүү, алар жасалма интеллект системаларынын инвентаризациясын жүргүзүүнү талап кылат.
AI-SPM деген эмне?
Жасалма интеллект коопсуздугунун абалын башкаруу (AI-SPM) – бул жасалма интеллект активдерин тынымсыз табуу, алардын жасалма интеллект чабуулунун жолу боюнча тобокелдиктерин баалоо, аларды жөнгө салууга ылайыкташтыруу жана жасалма интеллекттин болжолдуу көрсөткүчүн түзүү практикасы. Ал абалды башкаруу ой жүгүртүүсүн (CSPM жана DSPMден тааныш) жасалма интеллектке тиешелүү активдерге жана чабуул векторлоруна чейин кеңейтет.
Жасалма интеллекттин инвентаризациясын канчалык тез-тез жаңыртып туруу керек?
Үзгүлтүксүз. Жаныбарларды издөө (ЖИ) активдери күн сайын өзгөрүп турат, анткени командалар жаңы моделдерди кабыл алып, жаңы агенттерди жайгаштырып жана жаңы MCP серверлерин конфигурациялап турушат, адатта, расмий бекитүүсүз. Убакыттын ичиндеги сканерлөө бир нече күндүн ичинде эскирип калат, ошондуктан натыйжалуу ЖИ инвентаризация программасы бир жолку аудит эмес, үзгүлтүксүз процесс катары иштейт.
Баштапкы коддо колдонулган жасалма интеллектти кантип инвентаризациялайм?
Коддо жасалма инвентаризациялоо көз карандылык катары тартылган жасалма интеллект моделдерин жана китепканаларды, ар бир иштеп чыгуучу үчүн конфигурацияланган жасалма интеллект коддоо жардамчыларын жана жергиликтүү иштеп жаткан MCP серверлерин же эреже файлдарын аныктоону билдирет. Бул ичинде иштеген ачылыштарды талап кылат SDLC (репозиторийлер, куруу pipelines жана иштеп чыгуучунун акыркы чекиттери) булут консолдорунда гана эмес.
