Хиймэл оюун ухааны BOM гэж юу вэ?

DevSecOps багуудад зориулсан хиймэл оюун ухааны материалын жагсаалтыг тайлбарлав #

Хиймэл оюун ухааны хөгжлийн талаарх хэлэлцүүлэг нь эрдэм шинжилгээний сониуч зангаас гараагүй. Аюулгүй байдлын багууд харагдах байдлаа алдаж эхэлсэнтэй холбоотойгоор гарч ирсэн. Машин сургалтын загварууд, суурь загварууд гэх мэт AI-ийн тусламжтай код үүсгэх Үйлдвэрлэлийн системд нэвтэрсэн ч уламжлалт програм хангамжийн нөөц хангалттай байхаа больсон. Та багц, контейнер, номын санг жагсааж болох ч ямар загварууд суулгагдсан, сургалтын өгөгдөл хаанаас ирсэн, эсвэл ямар гадаад API нь ажиллах үеийн зан төлөвийг бүрдүүлж байгааг мэдэхгүй хэвээр байна. Энэ бол урьдчилсан ...cisХиймэл оюун ухааны материалын төслийн цоорхойг шийдвэрлэх зорилготой.

Тоонууд гарч ирэхэд энэ хэрэгцээг үл тоомсорлох боломжгүй болсон. Өнөөдөр хиймэл оюун ухаанаар үүсгэгдсэн кодын 40% нь аюулгүй байдлын эмзэг байдлыг агуулж байгаа бөгөөд хиймэл оюун ухаанаар чиглэсэн мэдээлэл хулгайлах явдал 2025 оны 4-р улирал болон 2026 оны 1-р улирлын хооронд 376%-иар өссөн бөгөөд Европын Холбооны хиймэл оюун ухааны тухай хуулийн техникийн баримт бичгийн шаардлага... Өндөр эрсдэлтэй хиймэл оюун ухааны системүүд 2026 оны 8-р сарын 2-нд хүчин төгөлдөр болноХиймэл оюун ухааны бүрэлдэхүүн хэсгүүдийнхээ бүтэцлэгдсэн бүртгэлийг (Хиймэл оюун ухааны салбар) гаргаж чадахгүй байгууллагууд аюулгүй байдал, нийцэл, хиймэл оюун ухааны хангамжийн сүлжээний бүрэн бүтэн байдал гэсэн гурван чиглэлээр нэгэн зэрэг ажиллаж байна. Цааш үргэлжлүүлэхээсээ өмнө тодорхой суурь шугамыг тогтооё.

Хиймэл оюун ухааны материалын жагсаалтыг гүнзгий судлах #

Хиймэл оюун ухааны BOM гэж юу вэ? Хиймэл оюун ухааны BOM (Хиймэл оюун ухааны материалын товчлол) нь систем дотор ашиглагддаг бүх хиймэл оюун ухаантай холбоотой бүрэлдэхүүн хэсгүүдийг баримтжуулсан бүтэцлэгдсэн бүртгэл юм. Үүнд загварууд, өгөгдлийн багцууд, сургалтын хүрээ, дүгнэлтийн хөдөлгүүрүүд, гуравдагч талын API-ууд, нээлттэй эхийн хамаарлууд болон хиймэл оюун ухааны бүтээх болон ажиллуулах үед хэрхэн ажиллахад нөлөөлдөг тохиргооны олдворууд багтана. Хэрэв Програм хангамжийн материалын жагсаалт (SBOM) нь "энэ програмын дотор ямар код байгаа вэ" гэж хариулдаг бол хиймэл оюун ухааны материалын жагсаалт нь илүү төвөгтэй асуултанд хариулдаг: энд ямар оюун ухаан суулгасан бэ, энэ нь хаанаас ирсэн бэ, ямар эрсдэл учруулж байна вэ? Хиймэл оюун ухааны BOM нь орлохгүй. SBOMЭнэ нь уламжлалт хамаарлын хяналт амжилтгүй болсон хэсгүүдэд, ялангуяа тунгалаг бус загварууд, гадаад хиймэл оюун ухааны үйлчилгээнүүд болон тасралтгүй хөгжиж буй эд өлгийн зүйлсийн эргэн тойронд үүнийг өргөжүүлдэг.

Хиймэл оюун ухааны BOM яагаад тусдаа ойлголт болж оршин тогтнодог вэ? #

Аюулгүй байдлын багууд эхэндээ сунгахыг оролдсон SBOMхиймэл оюун ухааны хөрөнгийг хамрахын тулд s. Энэ арга нь хурдан бүтэлгүйтдэг. Загварууд нь номын сан биш. Сургалтын өгөгдлийн багцууд нь багцууд биш. Зааварчилгааны загварууд нь статик тохиргооны файлууд биш юм. Хиймэл оюун ухааны BOM нь хиймэл оюун ухааны системүүд эрсдэлийн хэмжээсүүдийг нэвтрүүлдэг тул оршин байдаг. SBOMs хэзээ ч барьж авахаар бүтээгдээгүй.

Багууд хиймэл оюун ухааны BOM гэж юу болохыг асуухад ихэвчлэн дараах бодит байдлын аль нэгэнд хариу үйлдэл үзүүлдэг.

• Гарал үүсэл нь тодорхойгүй загварыг олон нийтийн бүртгэлээс хассан
• Сургалтын мэдээлэлд лицензтэй эсвэл эмзэг материал багтсан
• Гадаад LLM API нь мэдэгдэлгүйгээр өөрийн зан төлөвийг өөрчилсөн
• Загварын шинэчлэлт нь алдаа, алдагдал эсвэл аюултай гаралтыг нэвтрүүлсэн
  

Хиймэл оюун ухааны материалын тухай хуулийн төсөл нь эдгээр нөхцөл байдлыг мөрдөх боломжийг олгодог тул хиймэл оюун ухааны аюулгүй байдал, засаглал, нийцлийн хэлэлцүүлэгт үүнийг улам бүр дурдах болсон.

Хиймэл оюун ухааны BOM-д баримтжуулсан гол бүрэлдэхүүн хэсгүүд #

Хиймэл оюун ухааны BOM нь зөвхөн тодорхой тохиолдолд л ашигтай байдаг. Хэрэгжилтүүд нь харилцан адилгүй байдаг ч боловсорсон хиймэл оюун ухааны материалын жагсаалтын бүтэц нь дараах ангиллыг тууштай баримтжуулдаг.

Загварууд ба загварын эд өлгийн зүйлс #

Үүнд загварын нэр, хувилбар, архитектур, эх сурвалжийн репозитор эсвэл борлуулагч, шалгах нийлбэр эсвэл хэш, байршуулалтын контекст орно. Үүнгүйгээр ослын хариу үйлдэл нь таамаглал болж хувирдаг.

Сургалт ба нарийн тохируулгын өгөгдөл #

Хиймэл оюун ухааны BOM нь сургалт эсвэл нарийн тохируулга хийхэд ашигласан өгөгдлийн багцыг цуглуулдаг бөгөөд үүнд гарал үүсэл, лицензийн хязгаарлалт, мэдрэмжийн ангилал орно. Энэ нь зохицуулалтын нөлөөлөл болон оюуны өмчийн эрсдэлд чухал ач холбогдолтой.

Хүрээ ба хэрэгслийн хэлхээ #

TensorFlow, PyTorch, дүгнэлтийн ажиллах хугацаа, оновчлолын сангууд болон загвар хөрвүүлэгчдийг энд оруулсан болно. Аюулгүй байдлын үүднээс авч үзвэл эдгээр нь уламжлалт кодтой адил хортой програм хангамж болон эмзэг байдлын эрсдэлтэй гүйцэтгэгдэх боломжтой хамаарлууд юм.

Гадаад хиймэл оюун ухааны үйлчилгээ болон API-ууд #

Гуравдагч талын хиймэл оюун ухааны үйлчилгээнд хамаарах аливаа зүйлийг хиймэл оюун ухааны материалын жагсаалтад үйлчилгээ үзүүлэгч, хэрэглээний цар хүрээ, өгөгдлийн урсгал, шинэчлэлтийн давтамж зэрэг жагсаалтад оруулсан байх ёстой.

Тохиргоо болон Prompt Assets #

Өгөгдөл, guardrails, мөн бодлогын давхаргууд нь хиймэл оюун ухааны зан төлөвт мэдэгдэхүйц нөлөөлдөг. Хиймэл оюун ухааны BOM нь тэдгээрийг репозитор дахь тайлбар биш харин нэгдүгээр зэрэглэлийн хөрөнгө гэж үздэг.

Хиймэл оюун ухааны BOM нь аюулгүй хөгжүүлэлтийн практикийг хэрхэн дэмждэг вэ #

Аюулгүй байдлын мэргэжилтнүүд одоо байгаа хяналтууд нь хиймэл оюун ухаанд байгалийн жамаар хамаатай гэж үздэг. Тэд тийм биш. Энэхүү буруу ойлголт нь өмнө нь гаргасан алдаануудыг тусгасан байдаг нээлттэй эх үүсвэрийн хангамжийн сүлжээ.

Хиймэл оюун ухааны BOM нь нарийн төвөгтэй байдлын улмаас нурж унах удирдлагуудыг идэвхжүүлдэг:

• Тодорхой загвар болон өгөгдлийн эх сурвалжтай холбоотой эрсдэлийн үнэлгээ
• Хиймэл оюун ухааны бүрэлдэхүүн хэсэг эвдэрсэн үед илүү хурдан хязгаарлах
• Сүүдрийн хиймэл оюун ухааны хэрэглээг албадан удирдах
• Хиймэл оюун ухаанаар удирдуулсан функцийг тодорхой эзэмших

Багууд хиймэл оюун ухааны BOM гэж юу болохыг асуухад практик хариулт нь энгийн байдаг: энэ нь хиймэл оюун ухааны системийг хар хайрцаг биш харин аудит хийх боломжтой програм хангамжийн бүрэлдэхүүн хэсэг гэж үзэхэд шаардлагатай хамгийн бага олдвор юм.

Нийтлэг буруу ойлголтууд #

Буруу ойлголт #1: “Бид аль хэдийн хамаарлыг хянадаг тул бидэнд хиймэл оюун ухааны BOM бий.”

Python багцуудыг хянах нь ямар загварын жин ачаалагдсан, ямар өгөгдлийн багц хэлбэртэй гаралтууд, эсвэл дүгнэлтийн төгсгөлийн цэг нь гадны үйлчилгээ үзүүлэгчийг дуудсан эсэхийг хэлж өгдөггүй. Хиймэл оюун ухааны BOM-г дүгнэлт хийдэггүй; үүнийг тодорхой үүсгэж, хадгалах ёстой.

Буруу ойлголт #2: “Хиймэл оюун ухааны хөгжлийн хөтөлбөрүүд нь зөвхөн зохицуулалттай салбаруудад зориулагдсан.” #

Зохицуулалт нь нэвтрүүлэлтийг хурдасгадаг боловч аюулгүй байдлын ослууд зайлшгүй шаардлагатай болгодог. Загварын хордлого, шуурхай нэвтрүүлэлт, өгөгдөл алдагдах, хортой загварын шинэчлэлтүүд нь хиймэл оюун ухааныг ашиглаж буй байгууллага бүрт нөлөөлдөг. Хиймэл оюун ухааны материалын жагсаалт нь зөвхөн нийцлийн ул мөр биш, харин хамгаалалтын хяналт юм.

Буруу ойлголт #3: “Загвар үзүүлэгчид энэ эрсдэлийг бидний өмнөөс хариуцдаг.” #

Гадны үйлчилгээ үзүүлэгчид хариуцлага хүлээх бус, үйл ажиллагааны ачааллыг бууруулдаг. Хэрэв таны систем хиймэл оюун ухааны гаралтыг ашигладаг бол эрсдэлийг та өөрөө хариуцна. Хиймэл оюун ухааны BOM нь энэ хамаарлыг баримтжуулж, үл тоомсорлохын оронд зохицуулах боломжтой.

Хиймэл оюун ухааны BOM vs SBOM: Яагаад хоёулаа хэрэгтэй вэ? #

Энэхүү харьцуулалт нь багаж хэрэгслийн тархалтаас зайлсхийхийг хичээж буй DevSecOps багуудын хувьд чухал бөгөөд урьдчилан сэргийлэх нь зүйтэй юм.cisэд өлгийн зүйл бүр хаана дуусаж, нөгөө нь хаана эхэлдэг тухай.

An SBOM Програм хангамжийн бүрэлдэхүүн хэсгүүд, багцууд, номын сангууд, контейнерууд болон тэдгээрийн хувилбарууд болон лицензүүдийг бүртгэдэг. Энэ нь дараах асуултад хариулдаг: энэ програмд ​​ямар код ажиллаж байна вэ? Хиймэл оюун ухааны BOM нь оюун ухааны бүрэлдэхүүн хэсгүүд, загварууд, өгөгдлийн багцууд, сургалтын хүрээ, гадаад API болон prompt тохиргоонуудыг бүртгэдэг. Энэ нь өөр асуултад хариулдаг: энэ системийн зан төлөвийг ямар хиймэл оюун ухаан бүрдүүлж байна, энэ нь хаанаас үүссэн бэ, ямар эрсдэл дагуулдаг вэ?

Бодит жишээгээр сохор цэг тодорхой болно. Гуравдагч талын суурь загварын үйлчилгээ үзүүлэгч API төгсгөлийн цэгийн ард байгаа жинг чимээгүйхэн шинэчилдэг гэж бодъё. Багцын хувилбарын өөрчлөлт байхгүй. Хамаарлын графикийн оруулгын шинэчлэлт байхгүй. Таны SBOM юу ч харуулахгүй байна. Гэхдээ таны аппликейшн дуудаж буй загвар одоо өөр өөр гаралт, өөр өөр алдааны горим, өөр өөр аюулгүй байдлын шинж чанаруудтайгаар өөрөөр ажиллаж байна. Хиймэл оюун ухааны BOM нь загварын хувилбар, үйлчилгээ үзүүлэгч, шинэчлэлтийн давтамж болон холбогдох өгөгдлийн урсгалыг хянадаг. Энэ нь яг юу болохыг нь тогтоодог. SBOM харж чадахгүй байна.

Хоёр дахь жишээ: тохиргооны файлд хадгалагдсан зааврын загварыг хашлагыг арилгахаар өөрчилсөн. Энэ нь кодын өөрчлөлт биш, хамаарлын шинэчлэлт биш, мөн контейнерийн дахин бүтээлт биш юм. Энэ нь хаа нэгтээ харагдахгүй байна. SBOMГэхдээ энэ нь хиймэл оюун ухааны системийн ажиллах үеийн үйл ажиллагааг эрс өөрчилдөг. Хиймэл оюун ухааны BOM нь шуурхай хөрөнгийг нэгдүгээр зэрэглэлийн бүрэлдэхүүн хэсэг гэж үздэг, хувилбартай, хянаж, аудит хийх боломжтой.

Хоёр эд өлгийн зүйлийн хооронд давхцал байдаг. PyTorch, TensorFlow, LangChain зэрэг хиймэл оюун ухааны хүрээнүүд нь хоёуланд нь гарч ирдэг. SBOM мөн хиймэл оюун ухааны BOM, учир нь тэдгээр нь бодит эмзэг байдал болон хортой програм хангамжийн эрсдэлтэй гүйцэтгэгдэх боломжтой хамаарлууд юм. Гэхдээ энэ давхцал нь нарийн юм. Загварын давхарга, өгөгдлийн давхарга, мөрийн давхарга болон гадаад API давхарга нь бүхэлдээ гадна талд байрладаг. SBOM хамрах хүрээ.

Хамтдаа, SBOM мөн хиймэл оюун ухааны хөгжлийн төв нь програм хангамжийн хангамжийн сүлжээний эрсдэлийн бүрэн дүр зургийг өгдөг. Тус тусад нь тус бүр нь нөгөөгийнхөө харагдахгүй цэгүүдийг удирдлагагүй үлдээдэг. Тийм ч учраас салбарын удирдамж нь хиймэл оюун ухааны материалын жагсаалтыг нэмэлт болгон улам бүр байрлуулж байна. SBOM, заавал биш бөгөөд орлуулах зүйл биш.

DevSecOps дээр хиймэл оюун ухааны BOM-г ажиллуулах нь #

Хиймэл оюун ухааны BOM нь статик баримт бичиг хэлбэрээр амьдрах ёсгүй. Энэ нь ...-тэй нэгтгэгдэх ёстой. SDLCҮр дүнтэй хэрэгжүүлэлтүүд нь хөгжүүлэлтийн амьдралын мөчлөгийн гурван үед үүнийг бий болгож, хадгалдаг:

• Загвар өмсөгч ажилд авах. Шинэ загвар, өгөгдлийн багц эсвэл гадаад хиймэл оюун ухааны API-г орчинд нэвтрүүлэх үед тухайн үед хиймэл оюун ухааны BOM оруулга үүсч, бүрэлдэхүүн хэсэг нь ямар нэгэн зүйлд хүрэхээс өмнө гарал үүсэл, хувилбар, лиценз, өгөгдлийн урсгал болон эрсдэлийн ангиллыг бүртгэдэг. pipeline эсвэл үйлдвэрлэлийн систем. Энэ бол үл мэдэгдэх хиймэл оюун ухаан сүүдрийн хиймэл оюун ухаан байхаа больсон цэг юм.
• CI/CD гүйцэтгэл. бүр pipeline ажиллуулах нь ашиглагдаж буй хиймэл оюун ухааны бүрэлдэхүүн хэсгүүд нь хиймэл оюун ухааны BOM-ын бичлэгтэй тохирч байгааг баталгаажуулах боломж юм. Автоматжуулсан шалгалтын үеэр CI/CD catch drift, дээш урсгалаар өөрчлөгдсөн загварын хувилбар, өөрчлөгдсөн prompt файл, одоо өөр үйлчилгээ үзүүлэгч рүү шийдвэрлэж буй API төгсгөл. Эдгээрийг бүтээх хугацаанд catch хийх нь ослын үеэр илрүүлэхээс хамаагүй бага зардалтай.
• Байршуулалт болон ажиллах хугацааны өөрчлөлтүүд. Хиймэл оюун ухааны бүрэлдэхүүн хэсгүүдийг үйлдвэрлэлд шинэчлэх, солих эсвэл ашиглалтаас гаргах үед хиймэл оюун ухааны BOM нь өөрчлөлтийг тусгахын тулд шинэчлэгдэж, өмнөх төлөв нь өөрчлөлтийн бүртгэлд хадгалагдана. Энэ нь ослын хариу арга хэмжээ, зохицуулалтын хяналт, засаглалын тайлан зэрэг нь бүгдээс хамаардаг аудитын мөрийг, хиймэл оюун ухаан юу, хэзээ, ямар тохиргоонд ажиллаж байсан тухай цаг хугацааны тэмдэглэгээтэй бүртгэлийг бий болгодог.

Энэхүү тасралтгүй шинэчлэлтийн загвар нь үйл ажиллагааны хиймэл оюун ухааны BOM-ыг нийцлийн баримт бичгээс ялгаж салгадаг зүйл юм. Тохирлын баримт бичиг нь аудитын үед асуултанд хариулдаг. Үйл ажиллагааны хиймэл оюун ухааны BOM нь ослын үед асуултанд хариулдаг бөгөөд энэ үед хариултууд үнэхээр чухал байдаг.

Яагаад хиймэл оюун ухааны банкууд ослын хариу арга хэмжээ авахад чухал байдаг вэ? #

Хиймэл оюун ухааны загвар эсвэл хүрээнд эмзэг байдал эсвэл хорлонтой зан авир илэрсэн үед цаг хугацаа чухал байдаг. Хиймэл оюун ухааны BOMгүйгээр багууд найдвартай хариулж чадахгүй:

• Ямар програмууд нөлөөлж байна вэ
• Ямар орчинд өртөж байна вэ
• Мэдрэмтгий мэдээлэл оролцсон эсэх

Энэхүү тодорхойгүй байдлын зардлыг хэмжих боломжтой. PromptMink хангамжийн сүлжээний халдлагад (Хойд Солонгосын төрийн дэмжлэгтэй бүлэглэл хиймэл оюун ухааны код бичих агентуудыг хууран мэхлэх зорилгоор хортой npm багцуудыг тусгайлан зохион бүтээсэн) хиймэл оюун ухааны бүртгэлгүй багууд аль агентууд эвдэрсэн хамаарлыг татсан, ямар орчин ил гарсан, эсвэл түрийвчний итгэмжлэл болон бусад зүйлийг тодорхойлох хурдан аргагүй байв. CI/CD Токенуудыг аль хэдийн шүүж авсан байсан. Мөрдөн байцаалт нь мэдэгдэж буй суурь шугамаас бус, харин эхнээс нь эхэлсэн.

Хиймэл оюун ухааны материалын жагсаалт нь үл мэдэгдэх зүйлсийг хайж болох баримт болгон хувиргаснаар хариу өгөх хугацааг шахдаг. Бараа материал байгаа бөгөөд одоо байгаа үед ослын эхний асуулт (юу нөлөөлсөн бэ) хэдэн өдрийн дотор биш хэдхэн минутын дотор хариулттай байдаг.

AI-First AppSec-д хиймэл оюун ухааны BOM-уудын үүрэг #

Хөгжилд хиймэл оюун ухаан нэвтэрч байгаа тул аюулгүй байдлын хэрэгслүүд хөгжих ёстой. Аль хэдийн хангадаг платформууд SBOMs, хортой програм илрүүлэхБолон хамаарлын оюун ухаан одоо хиймэл оюун ухааны бүрэлдэхүүн хэсгүүдэд харагдах байдлыг өргөжүүлж байна. Энэ бол платформууд гэх мэт Ксигени хиймэл оюун ухааны BOM концепцтой байгалийн жамаар уялдуулах. Хиймэл оюун ухаантай холбоотой эд өлгийн зүйлсийг код, хамаарал, pipelineболон ажиллах үеийн зан төлөв, хиймэл оюун ухааны BOM-ууд нь онолын диаграм байхаа больж, үйлдэл хийх боломжтой аюулгүй байдлын хяналт болж хувирдаг.

Хиймэл оюун ухааны BOM-ыг хослуулсан бодит цагийн хортой програм хангамж илрүүлэх, SCA, CI/CD аюулгүй байдалБолон ASPM багуудад хүргэлтийг удаашруулахгүйгээр хиймэл оюун ухааны эрсдэлийг удирдах боломжийг олгодог. Энэ бол практик төгсгөл юм: үрэлтгүйгээр харагдах байдал.

Эцсийн бодол: Яагаад "Хиймэл оюун ухааны BOM гэж юу вэ" гэдэг нь зөв асуулт вэ? #

Хиймэл оюун ухааны BOM гэж юу болохыг асуух нь тодорхойлолтын тухай биш юм. Энэ нь хиймэл оюун ухааны системүүд одоо програм хангамжийн хангамжийн сүлжээний нэг хэсэг болж, удирдлагагүй хангамжийн сүлжээнүүд бүтэлгүйтдэг гэдгийг хүлээн зөвшөөрөх тухай юм. Хиймэл оюун ухааны материалын тухай хуулийн төсөл нь DevSecOps багуудад хиймэл оюун ухаанаас давуу тал олгодог. SBOMнээлттэй эх үүсвэрт хүргэгдсэн, төгс хяналт биш, харин мэдээлэлтэй болгоход хангалттай харагдах байдалcisионууд, хурдан хариу үйлдэл үзүүлж, зайлсхийх боломжтой эрсдлийг бууруулна.

Хиймэл оюун ухаантай хүмүүсийн дунд хиймэл оюун ухааны бараа материалын нийцлийг удирддаг багуудад зориулав SDLC, хиймэл оюун ухаан-BOM нь ирээдүйн шаардлага биш юм. Энэ нь өнөөдөр хиймэл оюун ухааныг програм хангамжийн хангамжийн сүлжээний нэг хэсэг гэж үзэх хамгийн бага боломжтой хяналт юм. Тийм ч учраас энэ нь чиг хандлага биш. Энэ бол залруулга юм.

тусламж #