An AI စာရင်း သင့်အဖွဲ့အစည်းတစ်လျှောက်တွင် လည်ပတ်နေသော AI ပိုင်ဆိုင်မှုတိုင်း၏ အဆက်မပြတ် အပ်ဒိတ်လုပ်ထားသော ကတ်တလောက်တစ်ခုဖြစ်သည် — မော်ဒယ်များ၊ AI-powered endpoints များ၊ datasets များ၊ AI coding assistants များ၊ MCP servers များနှင့် AI dependencies များ — ၎င်းတို့ကို ချိတ်ဆက်ပေးသော ဆက်ဆံရေးများ၊ အန္တရာယ်များနှင့် ပိုင်ရှင်များနှင့်အတူ။ လုံခြုံရေးရှုထောင့်အရ ၎င်းသည် ဂိုဒေါင် သို့မဟုတ် ကုန်ပစ္စည်းစာရင်းစီမံခန့်ခွဲမှုနှင့် မသက်ဆိုင်ပါ။ ဤနေရာတွင်၊ "AI စာရင်း" သင်အသုံးပြုနေတဲ့ AI က ဘယ်ဟာလဲ၊ ဘယ်မှာနေထိုင်လဲ၊ ဘယ်လောက်အထိ ရောက်နိုင်လဲဆိုတာကို တိတိကျကျ သိရှိခြင်းကို ရိုးရှင်းစွာ ဆိုလိုပါတယ်။
AI သည် IDE တွင် ကုဒ်ထုတ်လုပ်ခြင်းမှသည် အတွင်းပိုင်းတွင် လုပ်ဆောင်နေသော အလိုအလျောက် အေးဂျင့်များအထိ ဆော့ဖ်ဝဲလ် ဖွံ့ဖြိုးတိုးတက်မှု၏ အဆင့်တိုင်းတွင် ပျံ့နှံ့သွားသည်နှင့်အမျှ CI/CD pipelines ဆိုရင်တော့ မေးခွန်းက AI ဟာ သင့်ပတ်ဝန်းကျင်မှာ ရှိ၊ မရှိ မဟုတ်တော့ပါဘူး။ မြင်နိုင်မလားဆိုတာကသာ အဓိကပါ။ ဒီလမ်းညွှန်က AI စာရင်းဆိုတာ ဘာလဲ၊ ဘယ်လိုဆက်စပ်နေလဲဆိုတာ ရှင်းပြထားပါတယ်။ AI-BOM ကာ SBOM, အဘယ်ကြောင့် AI အရိပ် လုံခြုံရေးပြဿနာတစ်ခု ဖြစ်လာပြီး လက်တွေ့လုပ်ဆောင်မှုက ဘယ်လို ဆက်စပ်နေလဲဆိုတာကို EU AI အက်ဥပဒေ, NIST AI RMF နှင့် ISO / IEC 42001.
Key ကို takeaways
- AI စာရင်းတစ်ခုသည် IT မှ အတည်ပြုထားသော မော်ဒယ်များ၊ အချက်အလက်စုများ၊ အေးဂျင့်များ၊ MCP ဆာဗာနှင့် AI ကုဒ်ရေးသည့်ကိရိယာတိုင်းကို သင့်ဆော့ဖ်ဝဲသက်တမ်းတစ်လျှောက်တွင် စာရင်းပြုစုထားသည်။
- အရိပ် AIအုပ်ချုပ်မှုမရှိဘဲ AI ကို လက်ခံကျင့်သုံးခြင်းသည် ယခုအခါ ပုံမှန်အခြေအနေဖြစ်ပြီး ခြွင်းချက်မဟုတ်ဘဲ ဖြစ်နေပါသည်- လုံခြုံရေးခေါင်းဆောင်များကို ၂၀၂၆ ခုနှစ်တွင် စစ်တမ်းတစ်ခုတွင် အဖွဲ့အစည်း ၁၉% သည် AI ကို မည်သည့်နေရာတွင် မည်သို့အသုံးပြုသည်ကို အပြည့်အဝမြင်သာကြောင်း ဖော်ပြခဲ့ကြသည်.
- An AI-BOM (AI ပစ္စည်းစာရင်း) AI စာရင်းတစ်ခု၏ စာရင်းစစ်ရန် အသင့်ဖြစ်သော ရလဒ်ဖြစ်သည်- AI ခေတ်၏ ဆက်ခံသူ SBOM.
- စည်းမျဉ်းစည်းကမ်းများ ရောက်ရှိလာတော့မည်။ EU AI အက်ဥပဒေ၊ NIST AI RMF နှင့် ISO/IEC 42001 အားလုံးသည် သင်မည်သည့် AI ကို လုပ်ကိုင်နေသည်ကို သိရှိရန် လိုအပ်ပါသည်။
- စာရင်းသည် အစပြုရာနေရာသာဖြစ်ပြီး တန်ဖိုးသည် အန္တရာယ်ကို ရမှတ်သတ်မှတ်ခြင်းနှင့် အမှန်တကယ်အရေးပါသော ပိုင်ဆိုင်မှုအနည်းငယ်ပေါ်တွင် လုပ်ဆောင်ခြင်းမှ လာပါသည်။
AI စာရင်းဆိုတာ ဘာလဲ။
AI စာရင်းဆိုသည်မှာ သင်၏ software ဖွံ့ဖြိုးတိုးတက်မှု သံသရာတစ်လျှောက် လည်ပတ်နေသော AI ပိုင်ဆိုင်မှုတိုင်းကို ရှာဖွေခြင်း၊ ကတ်တလောက်ပြုလုပ်ခြင်းနှင့် စဉ်ဆက်မပြတ် စောင့်ကြည့်ခြင်းဆိုင်ရာ အလေ့အကျင့်ဖြစ်ပြီး တစ်ခုချင်းစီနှင့် ဆက်စပ်နေသော အန္တရာယ်များကို ဖော်ထုတ်ခြင်း ဖြစ်သည်။ စာရင်းအပြည့်အစုံသည် ပိုင်ဆိုင်မှုတိုင်းအတွက် မေးခွန်းသုံးခုကို ဖြေဆိုပေးသည်- ၎င်းကား အဘယ်နည်း၊ ဘယ်မှာလည်ပတ်သနည်း၊ မည်သည့်အရာကို ရယူအသုံးပြုနိုင်သနည်း။
အဲဒီအတိုင်းအတာက အဖွဲ့အများစု မျှော်လင့်ထားတာထက် ပိုကျယ်ပြန့်ပါတယ်။ အဓိပ္ပာယ်ရှိတဲ့ AI စာရင်းတစ်ခုမှာ အောက်ပါတို့ကို လွှမ်းခြုံထားသင့်ပါတယ်-
- မော်ဒယ်ဗားရှင်း၊ တည်နေရာနှင့် ထောက်လှမ်းမှု ယုံကြည်မှုဖြင့် ဖွံ့ဖြိုးတိုးတက်မှုနှင့် ထုတ်လုပ်မှုတစ်လျှောက်တွင် အသုံးပြုနေသော ဘာသာစကားမော်ဒယ်ကြီးတိုင်းနှင့် အခြေခံမော်ဒယ်တိုင်း။
- datasetsအဆိပ်သင့်နေသော နောက်ခံအခြေအနေနှင့် ဒေတာယိုစိမ့်မှုတို့ အပါအဝင် လေ့ကျင့်ရေးဒေတာ၊ ပြန်လည်ရယူထားသော အချက်အလက်အစုများနှင့် ဗက်တာစတိုးများ။
- အေးဂျင့်များ: သင့်ပတ်ဝန်းကျင်တွင် လုပ်ဆောင်ချက်များ လုပ်ဆောင်သည့် အလိုအလျောက်စနစ်များ၊ ဥပမာ ဖွင့်လှစ်ခြင်း pull requests၊ dependencies များကို install လုပ်ခြင်း သို့မဟုတ် infrastructure ကို ထိခြင်း။
- MCP ဆာဗာများ: မော်ဒယ် ဆက်စပ်ပရိုတိုကော AI လက်ထောက်များကို ပြင်ပကိရိယာများ၊ API များနှင့် ဒေတာရင်းမြစ်များနှင့် ချိတ်ဆက်ပေးသော ဆာဗာများ။
- AI ကုဒ်ရေးကိရိယာများနှင့် လက်ထောက်များ: ကုဒ်ထုတ်ပေးသည့် copilot များနှင့် IDE ပေါင်းစပ်မှုများ, dependency များကို အကြံပြုပြီး repositories များနှင့် အပြန်အလှန် ဆက်သွယ်သည်။
- AI မူဘောင်များမော်ဒယ်များကို tools နှင့် data သို့ ချိတ်ဆက်ပေးသည့် LangChain၊ LangGraph၊ agent server များနှင့် အခြား orchestration layer များ။
- ပိုင်ဆိုင်မှုများအကြား ဆက်နွယ်မှုများမော်ဒယ်များ၊ အေးဂျင့်များ၊ ဆာဗာများ၊ အချက်အလက်စုများနှင့် ၎င်းတို့နှင့် ချိတ်ဆက်ထားသော လျှို့ဝှက်ချက်များအကြား ချိတ်ဆက်မှုများ။ ဆက်နွယ်မှုဇယားသည် အန္တရာယ်ကို flat list အဖြစ်မဟုတ်ဘဲ context တွင် မြင်သာစေသည်။
AI ကုန်ပစ္စည်းစာရင်းနှင့် AI ပိုင်ဆိုင်မှုကုန်ပစ္စည်းစာရင်းနှင့် AI-BOM တို့သည် မည်သို့ကွာခြားသနည်း။ SBOM
ဤအသုံးအနှုန်းများကို လျော့ရဲစွာအသုံးပြုထားသောကြောင့် ကြိုတင်ပြင်ဆင်ထားရန် အထောက်အကူဖြစ်စေပါသည်။cise. “AI စာရင်း” နှင့် “AI ပိုင်ဆိုင်မှုစာရင်း” တို့သည် အရာတစ်ခုတည်းကို ဖော်ပြသည်။AI ပိုင်ဆိုင်မှုများ၏ လက်ရှိစာရင်းနှင့် ၎င်းတို့၏အန္တရာယ်များ။ AI-BOM သည် ကုန်ပစ္စည်းစာရင်းမှ ထုတ်လုပ်သော တင်ပို့နိုင်သော ရှေးဟောင်းပစ္စည်းဖြစ်သည်။စက်ဖြင့်ဖတ်နိုင်သော ပစ္စည်းစာရင်းဇယားတစ်ခု၊ စာရင်းစစ် သို့မဟုတ် စာရင်းစစ်ချုပ်ထံ ပေးပို့နိုင်သည်။ enterprise ဝယ်သူ။
AI-BOM ကို နားလည်ရန် အသန့်ရှင်းဆုံးနည်းလမ်းမှာ ဥပမာဖြင့် နှိုင်းယှဉ်ခြင်းဖြစ်သည်။ SBOM:
AI သည် နေရာအနှံ့တွင် ထည့်သွင်းလာသည်နှင့်အမျှ SDLCAI-BOM သည် အခြေခံအုတ်မြစ်ကဲ့သို့ ဖြစ်လာနေသည် SBOMနှင့် လုံခြုံရေးခေါင်းဆောင်များသည် စာရင်းစစ်များနှင့် උපදිරියများထံမှ တောင်းဆိုမှုများကို ပိုမိုရရှိနေကြသည် enterprise ဒီရှေးဟောင်းပစ္စည်းအတွက် ဝယ်ယူရေးအဖွဲ့တွေ။
AI စာရင်းက ဘာကြောင့် အခုအချိန်မှာ အရေးကြီးတာလဲ
AI စာရင်းကို ရှိသင့်ရှိထိုက်သော စာရင်းမှ ဦးစားပေးစာရင်းအဖြစ်သို့ ပြောင်းလဲစေသည့် အဓိကအချက်သုံးချက်ရှိသည်။
- ပထမဦးစွာ၊ AI သည် မလုံခြုံသောကုဒ်များကို ကျယ်ကျယ်ပြန့်ပြန့်ရေးသားနေသည်။ AI မှထုတ်လုပ်သော ကုဒ်အများစုတွင် အားနည်းချက်များပါရှိကြောင်း လွတ်လပ်သောသုတေသနပြုချက်က အဆက်မပြတ်တွေ့ရှိခဲ့သည်။ Pearce နှင့်အဖွဲ့၏ မူလ NYU/Copilot လေ့လာမှုတွင် အကြမ်းဖျင်းအားဖြင့် ထုတ်လုပ်ထားသော ပရိုဂရမ်များ၏ ၄၀% တွင် လုံခြုံရေးအားနည်းချက်များ ပါဝင်နေသည်နှင့် ပိုမိုမကြာသေးမီက ကြီးမားသော စမ်းသပ်မှုအချက်များကိုလည်း အလားတူပင်- Veracode ၏ ၂၀၂၅ ခုနှစ် ခွဲခြမ်းစိတ်ဖြာမှုတွင် မော်ဒယ် ၁၀၀+ တွင်သာ တွေ့ရှိခဲ့သည်။ AI မှထုတ်လုပ်သောကုဒ်၏ ၅၅% သည်လုံခြုံသည်သင့်တွင် မည်သည့်လက်ထောက်များက ကုဒ်ထုတ်ပေးနေသည်ကို သင်မသိပါက pipelines, သင်အဲဒီအန္တရာယ်ကို ထိန်းချုပ်လို့မရပါဘူး။
- ဒုတိယအချက်အနေနဲ့ ဆော့ဖ်ဝဲလ် ထောက်ပံ့ရေးကွင်းဆက်ဟာ AI တိုက်ခိုက်မှုရဲ့ မျက်နှာပြင်တစ်ခု ဖြစ်လာပါတယ်။ စက်တင်ဘာလ 2025 ခုနှစ်, Shai Huludပထမဆုံး ကိုယ်တိုင်ပြန့်ပွားသော npm worm သည် developer စက်များကို ဖြန့်ဖြူးရေးယန္တရားတစ်ခုအဖြစ်သို့ ပြောင်းလဲခဲ့ပြီး package ရာပေါင်းများစွာတွင် ပျံ့နှံ့သွားခဲ့သည်။ ၂၀၂၆ ခုနှစ် မတ်လတွင် တိုက်ခိုက်သူများသည် ခိုးယူခံခဲ့ရသည်။ ကချင်, အကြမ်းဖျင်းအားဖြင့် ပါသော အထုပ်တစ်ထုပ် အပတ်စဉ် ဒေါင်းလုဒ် သန်း ၁၀၀remote-access trojan တစ်ခုကို ပစ်ချခဲ့သည့် အဆိပ်သင့်ဗားရှင်းများကို ထုတ်ဝေခြင်း။ ဤကဲ့သို့သော တိုက်ခိုက်မှုများသည် ရိုးရာ AppSec နှင့် endpoint tooling အကြားရှိ အလွှာတွင် အတိအကျ ကျရောက်သည်- AI စာရင်းတစ်ခုကို ထွန်းလင်းစေရန် တည်ဆောက်ထားသော အလွှာ။
- တတိယအချက်အနေနဲ့ လျှို့ဝှက်ချက်တွေနဲ့ အထောက်အထားတွေဟာ AI ကနေတစ်ဆင့် ပေါက်ကြားနေပါတယ်။ GitGuardian ရဲ့ State of Secrets Sprawl 2026 မှာ ဖော်ပြထားတာတွေကတော့ - AI ဝန်ဆောင်မှု လျှို့ဝှက်ချက်များ ပေါက်ကြားမှုမှာ တစ်နှစ်ထက်တစ်နှစ် ၈၁% မြင့်တက်လာနှင့် AI မှ အထောက်အကူပြုသော commits leak secretအခြေခံနှုန်းထက် နှစ်ဆခန့်ရှိသည်။ မှတ်တမ်းမရှိသော မော်ဒယ်၊ အေးဂျင့် သို့မဟုတ် MCP ဆာဗာတိုင်းသည် အထောက်အထားတစ်ခုသို့ ဦးတည်နိုင်သည့် လမ်းကြောင်းတစ်ခုဖြစ်သည်။
ရိုးရာ AppSec သည် repository တွင်ရပ်တန့်ပြီး model ဆိုတာဘာလဲဆိုတာ နားမလည်ပါ။ Endpoint tools များသည် operating system ကိုစောင့်ကြည့်သော်လည်း package များ၊ MCP server များ သို့မဟုတ် AI assistant များကိုနားမလည်ပါ။ ၎င်းတို့ကြားရှိကွာဟချက်သည် AI အန္တရာယ်စုပုံလာသည့်နေရာဖြစ်ပြီး စာရင်းသည် ၎င်းကိုပိတ်ရန် ပထမခြေလှမ်းဖြစ်သည်။
AI ပုန်းအောင်းနေတဲ့နေရာ- တစ်ဖက်က အရိပ် AI SDLC
အရိပ် AI တရားဝင်ခွင့်ပြုချက် သို့မဟုတ် အုပ်ချုပ်မှုမရှိဘဲ လက်ခံကျင့်သုံးသည့် မည်သည့် AI စနစ်မဆို- ပြီးခဲ့သည့်အပတ်က developer တစ်ဦးက copilot ကို ဖွင့်ပေးခြင်း၊ MCP server ကို laptop တွင် run ခြင်း၊ မော်ဒယ်ကို public hub မှ side project ထဲသို့ တိုက်ရိုက်ဆွဲယူခြင်း။ ၎င်းသည် edge case မဟုတ်ပါ။ ၂၀၂၆ ခုနှစ်တွင် လုံခြုံရေးခေါင်းဆောင် ၄၀၀ ကျော်ကို စစ်တမ်းကောက်ယူရာတွင် ၁၉% သည် AI ကို မည်သည့်နေရာတွင် မည်သို့အသုံးပြုသည်ကို အပြည့်အဝမြင်သာကြောင်း ဖော်ပြခဲ့ကြသည် ၎င်းတို့၏အဖွဲ့အစည်းတစ်လျှောက်တွင် အများစုမှာ AI coding assistant များကို အသုံးပြုနေပြီ သို့မဟုတ် စမ်းသပ်အသုံးပြုနေကြပြီဖြစ်သည်။
ရှာရအခက်ခဲဆုံး shadow AI ကတော့ software lifecycle ထဲက AI ပါပဲ၊ ဘာလို့လဲဆိုတော့ cloud console မှာ ရှားရှားပါးပါးပဲ ပေါ်လာလို့ပါ။
- မော်ဒယ်များနှင့် AI စာကြည့်တိုက်များကို dependencies များအဖြစ် repositories များထဲသို့ ဆွဲယူခဲ့သည်။
- ဆော့ဖ်ဝဲရေးသားသူတစ်ဦးချင်းစီ၊ IDE တစ်ခုချင်းစီအတွက် ပြင်ဆင်သတ်မှတ်ထားသော AI ကုဒ်ရေးခြင်းလက်ထောက်များ။
- developer endpoint များတွင် ဒေသတွင်းတွင် လည်ပတ်နေသော MCP ဆာဗာများနှင့် စည်းမျဉ်းဖိုင်များ။
- အေးဂျင့်လုပ်ငန်းစဉ်များ တိတ်တဆိတ်ဖွင့်လှစ်ခြင်း pull requests သို့မဟုတ် package များကို install လုပ်ခြင်း။
ဒါကြောင့် cloud-only discovery က မလုံလောက်တာပါ။ အမှန်တကယ်ပြီးပြည့်စုံတဲ့ AI inventory တစ်ခုဟာ code နဲ့ build environment တွေ (developer ရဲ့ laptop၊ repository၊ pipeline)၊ ထုတ်လုပ်မှု cloud တစ်ခုတည်းမဟုတ်ပါ။
AI-BOM မှာ ဘာတွေပါဝင်သင့်လဲ
စာရင်းစစ်ရန် အသင့်ဖြစ်နေသော AI-BOM သည် သင့်ကုန်ပစ္စည်းစာရင်းကို သင်သက်သေပြနိုင်သောအရာအဖြစ်သို့ ပြောင်းလဲပေးသည်။ အနည်းဆုံး ၎င်းတွင် အောက်ပါတို့ ပါဝင်သင့်သည်-
- AI ပိုင်ဆိုင်မှုတိုင်း- မော်ဒယ်များ၊ အချက်အလက်အစုများ၊ အေးဂျင့်များ၊ MCP ဆာဗာများ၊ AI ကုဒ်ရေးကိရိယာများ။
- တစ်ခုချင်းစီအတွက် ပိုင်ဆိုင်မှုအမျိုးအစား၊ တည်နေရာနှင့် ထောက်လှမ်းမှုယုံကြည်မှု။
- မူရင်းနှင့် မှီခိုမှုများ (မော်ဒယ် သို့မဟုတ် အစိတ်အပိုင်း လာရာနေရာ)။
- AI-သီးသန့် တိုက်ခိုက်မှု vector များအပေါ်အခြေခံ၍ ပိုင်ဆိုင်မှုတစ်ခုချင်းစီ၏ အန္တရာယ်အဆင့်။
- EU AI အက်ဥပဒေ၊ NIST AI RMF နှင့် ISO/IEC 42001 တို့နှင့် စည်းမျဉ်းစည်းကမ်းဆိုင်ရာ မြေပုံရေးဆွဲခြင်း။
- စာရင်းစစ်များနှင့် ဖောက်သည်များအတွက် ထုတ်ယူနိုင်သော၊ စက်ဖြင့်ဖတ်နိုင်သော ဖော်မတ်။
AI-BOM ကို လိုအပ်ချက်အရ ထုတ်ပေးနိုင်သော အဖွဲ့အစည်းများသည် AI စာရင်းစစ်တာဝန်ဝတ္တရားများ ရင့်ကျက်လာသည်နှင့်အမျှ လိုက်နာမှုနှင့် ယုံကြည်မှု အားသာချက်ကို ရရှိမည်ဖြစ်သည်။
AI စာရင်းနှင့် လိုက်နာမှု- EU AI အက်ဥပဒေ၊ NIST AI RMF နှင့် ISO/IEC 42001
အဓိက မူဘောင်များထဲမှ မည်သည့် မူဘောင်မျှ “AI စာရင်း” ကို လိုင်းပစ္စည်းတစ်ခုအဖြစ် မသတ်မှတ်သော်လည်း၊ ၎င်းမပါဘဲ တစ်ခုချင်းစီကို ဖြည့်ဆည်းရန် မဖြစ်နိုင်ပါ။ သင်မမြင်နိုင်သော AI စနစ်များကို မှတ်တမ်းတင်ခြင်း၊ အမျိုးအစားခွဲခြားခြင်း သို့မဟုတ် အုပ်ချုပ်ခြင်း မပြုနိုင်ပါ။
အချိန်နှင့်ပတ်သက်သည့် မှတ်ချက်- EU AI အက်ဥပဒေ၏ စတင်အသက်ဝင်မှုကို ၂၀၂၆ ခုနှစ် မေလ “Digital Omnibus” သဘောတူညီချက်ဖြင့် ပြင်ဆင်ခဲ့ပြီး၊ ၎င်းသည် အန္တရာယ်အများဆုံးတာဝန်ဝတ္တရားများကို ၂၀၂၇ ခုနှစ် ဒီဇင်ဘာလသို့ ရွှေ့ဆိုင်းထားပြီး ၂၀၂၆ ခုနှစ် ဩဂုတ်လ ၂ ရက်နေ့ မှတ်တိုင်များစွာ (ပွင့်လင်းမြင်သာမှုအခွန်များ၊ GPAI ပြစ်ဒဏ်အာဏာများ) ကို အသက်ဝင်နေစေခဲ့သည်။ တိကျသောရက်စွဲများကို ရွေ့လျားနေသောပစ်မှတ်အဖြစ် သဘောထားပြီး မူလ EU ရင်းမြစ်များနှင့် အတည်ပြုပါ။ သို့သော် ခရီးစဉ်၏ ဦးတည်ရာသည် ရှင်းလင်းပြီး စာရင်းသည် ၎င်းအားလုံးအတွက် မရှိမဖြစ်လိုအပ်ချက်ဖြစ်သည်။
AI စာရင်းတစ်ခုကို ဘယ်လိုတည်ဆောက်ပြီး ထိန်းသိမ်းမလဲ
စာရင်းတစ်ခုတည်ဆောက်ခြင်းသည် တစ်ကြိမ်တည်းသောစာရင်းစစ်ခြင်းထက် စဉ်ဆက်မပြတ်လုပ်ငန်းစဉ်တစ်ခု ထူထောင်ခြင်းနှင့် ပိုသက်ဆိုင်သည်၊ အဘယ်ကြောင့်ဆိုသော် AI ပိုင်ဆိုင်မှုများသည် အဆက်မပြတ်ပြောင်းလဲနေပါသည်- မော်ဒယ်အသစ်များကို လက်ခံကျင့်သုံးခြင်း၊ အေးဂျင့်အသစ်များ ဖြန့်ကျက်ခြင်း၊ MCP ဆာဗာအသစ်များကို ပြင်ဆင်သတ်မှတ်ခြင်း၊ မကြာခဏ ခွင့်ပြုချက်မရှိဘဲ ပြုလုပ်ခြင်းတို့ကြောင့် ဖြစ်သည်။
လက်တွေ့ကျတဲ့ ချဉ်းကပ်မှုတစ်ခု-
- ကုဒ်၊ တည်ဆောက်မှုနှင့် cloud တစ်လျှောက်တွင် အလိုအလျောက် ရှာဖွေပါ။ လက်စွဲစာရင်းဇယားများသည် ရက်အနည်းငယ်အတွင်း ပျက်ပြယ်သွားပါသည်။ Discovery သည် စဉ်ဆက်မပြတ်လည်ပတ်ပြီး ထဲသို့ရောက်ရှိရန် လိုအပ်ပါသည်။ SDLCလည်ပတ်ချိန်တင် မဟုတ်ပါဘူး။
- အမျိုးအစားခွဲခြားပြီး ဆက်နွယ်မှုများကို မြေပုံဆွဲပါ။ အမျိုးအစား၊ တည်နေရာ၊ မူရင်းဇစ်မြစ်နှင့် အရေးကြီးသည်မှာ ပိုင်ဆိုင်မှုတစ်ခုစီသည် အခြားပိုင်ဆိုင်မှုများနှင့် လျှို့ဝှက်ချက်များနှင့် မည်သို့ချိတ်ဆက်သည်ကို မှတ်တမ်းတင်ပါ။
- အခြေအနေအရ အန္တရာယ်ကို အမှတ်ပေးပါ။ ရာပေါင်းများစွာသော တွေ့ရှိချက်များပါဝင်သည့် စာရင်းသည် မည်သူ့ကိုမျှ အထောက်အကူမပြုပါ။ အမှန်တကယ်ရောက်ရှိနိုင်သည်၊ အသုံးချနိုင်သည်နှင့် စီးပွားရေးအရ အရေးကြီးသည်တို့ကို ဦးစားပေးပါ။
- ပိုင်ဆိုင်မှုကို လွှဲအပ်ပါ။ ပိုင်ဆိုင်မှုတိုင်းတွင် တာဝန်ခံမှုရှိသောပိုင်ရှင်တစ်ဦး လိုအပ်ပါသည်။
- ၎င်းကို အသက်ဝင်စေပြီး ထုတ်ယူနိုင်စေရန် ထားပါ။ ၎င်းကို လိုအပ်ချက်အရ AI-BOM ကို ထုတ်လုပ်နိုင်သည့် စဉ်ဆက်မပြတ်စာရင်းအဖြစ် ထိန်းသိမ်းပါ။
AI စာရင်းဆော့ဖ်ဝဲလ်မှာ ဘာတွေရှာရမလဲ
ကိရိယာတန်ဆာပလာများကို အကဲဖြတ်နေပါက၊ စစ်မှန်သော AI စာရင်းဆော့ဖ်ဝဲကို static စာရင်းမှ ခွဲခြားပေးသည့် စွမ်းရည်များမှာ အောက်ပါအတိုင်းဖြစ်သည်။
- AI-သီးသန့် ပိုင်ဆိုင်မှုအမျိုးအစားများကို နားလည်သည် (မော်ဒယ်များ၊ အေးဂျင့်များ၊ MCP ဆာဗာများ၊ အချက်အလက်စုများ)၊ package များနှင့် libraries များသာမက။
- အတွင်းသို့ရောက်ရှိသည် SDLCcloud တွင်သာမက ကုဒ်နှင့် developer endpoint များတွင် AI ကို ရှာဖွေတွေ့ရှိခြင်း။
- မြေပုံများ ဆက်နွယ်မှုများတစ်ဦးချင်းပိုင်ဆိုင်မှုများကိုသာမက၊ အန္တရာယ်ကို အခြေအနေတွင် မြင်နိုင်သည်။
- AI-သီးသန့် တိုက်ခိုက်မှု vector များတွင် အန္တရာယ်ရမှတ်များ ပေးသည် (အလျင်အမြန်ထိုးခြင်း၊ မလုံခြုံသော MCP၊ အလွန်အကျွံ ဖြန့်ဖြူးမှု)၊ CVE ပြင်းထန်မှုသာမက။
- စဉ်ဆက်မပြတ်လည်ပတ်နေသည်ပေါ်လာသည့်အတိုင်း AI အသစ်များကို ဖမ်းယူနေသည်။
- စာရင်းစစ်ရန် အသင့်ဖြစ်နေသော AI-BOM ကို ထုတ်လုပ်သည် စာရင်းစစ်နှစ်ဦးစလုံးကို ကျေနပ်စေသော enterprise ဝယ်ယူရေး။
- စာရင်းကို အကောင်အထည်ဖော်မှုနှင့် ချိတ်ဆက်ပေးသည်သင်တွေ့ရှိသည့်အတိုင်း လုပ်ဆောင်နိုင်ပါသည်။
စာရင်းမှ လက်တွေ့လုပ်ဆောင်မှုအထိ- သင်တွေ့ရှိသည့်အရာကို လုံခြုံအောင်ပြုလုပ်ခြင်း
ရှာဖွေတွေ့ရှိမှုသည် ပထမခြေလှမ်းဖြစ်ပြီး ဒုတိယခြေလှမ်းမှာ မည်သည့်ပိုင်ဆိုင်မှုများသည် အမှန်တကယ်အန္တရာယ်ရှိသည်ကို နားလည်ခြင်းဖြစ်သည်၊ အဘယ်ကြောင့်ဆိုသော် အများစုမှာ မပါဝင်သောကြောင့်ဖြစ်သည်။ ရည်မှန်းချက်မှာ ကုန်ကြမ်းတွေ့ရှိချက်ထောင်ပေါင်းများစွာမှ စနစ်များ၊ အချက်အလက် သို့မဟုတ် လုပ်ငန်းဆောင်တာများကို အမှန်တကယ်ထိခိုက်စေနိုင်သော လက်တစ်ဆုပ်စာအထိ ရွေ့လျားရန်ဖြစ်သည်- တက်ကြွစွာအသုံးပြုနေသော၊ မယုံကြည်ရသောထည့်သွင်းမှုကို လက်ခံသော၊ လက်တွေ့ကျကျ အသုံးချနိုင်သော၊ အရေးကြီးသောဝင်ရောက်ခွင့်ကို ထိန်းသိမ်းထားရှိသော၊ ထုတ်လုပ်မှု သို့မဟုတ် စည်းမျဉ်းသတ်မှတ်ထားသော ပိုင်ဆိုင်မှုများကို ထိခိုက်စေသော တွေ့ရှိချက်များ။
ဤနေရာတွင် AI လုံခြုံရေး အနေအထား စီမံခန့်ခွဲမှု (AI-SPM) ကောက်ယူခြင်း- စာရင်းကိုယူခြင်း၊ AI တိုက်ခိုက်မှုလမ်းကြောင်းတစ်လျှောက် အန္တရာယ်များကို အမှတ်ပေးခြင်း၊ စည်းမျဉ်းစည်းကမ်းများနှင့် ချိတ်ဆက်ခြင်းနှင့် AI-BOM ကို ထုတ်လုပ်ခြင်း။ ၎င်းသည် စာရင်းကို အကောင်အထည်ဖော်မှုနှင့် ကိုက်ညီသည့်နေရာလည်းဖြစ်သည်- ၎င်းတို့ကို ထည့်သွင်းခြင်းမပြုမီ အန္တရာယ်ရှိသော မှီခိုမှုများကို ပိတ်ဆို့ခြင်း၊ အတည်မပြုရသေးသော MCP ဆာဗာများနှင့် မော်ဒယ်များကို ငြင်းပယ်ခြင်းနှင့် အဖြစ်အပျက်တစ်ခု မပျံ့နှံ့မီ ခိုးယူခံရသော endpoint များကို ထိန်းချုပ်ခြင်း။
At ဆိုက်ဂျီနီဒါက ကျွန်တော်တို့ တည်ဆောက်ထားတဲ့ မော်ဒယ်ပါ- AI-SPM မှတစ်ဆင့် စဉ်ဆက်မပြတ် AI စာရင်းနှင့် AI-BOM၊ လက်မှတ်တစ်ခု မရှိသေးခင်မှာ အန္တရာယ်ရှိတဲ့ package တွေကို ဖမ်းယူပေးတဲ့ malware ထောက်လှမ်းခြင်း (MEW၊ Malware ကြိုတင်သတိပေးချက်) နှင့် Xygeni Shield မှတစ်ဆင့် developer endpoint တွင် မူဝါဒပြဋ္ဌာန်းခြင်း။ ထောက်လှမ်းခြင်းကို LLM Applications အတွက် OWASP Top 10၊ Agentic Apps အတွက် OWASP Top 10 နှင့် OWASP MCP Top 10 တို့နှင့် ချိန်ညှိထားသည်။ သို့သော် မည်သည့်ချဉ်းကပ်မှုကို ရွေးချယ်ပါစေ၊ အခြေခံမူမှာ အောက်ပါအတိုင်းဖြစ်သည်- မမြင်နိုင်တာကို လုံခြုံအောင် မထားနိုင်ဘူး၊ AI စာရင်းက မြင်နိုင်စွမ်း စတင်တဲ့နေရာပါ။
အမေးအဖြေများ
AI-BOM နဲ့ ဘယ်လိုကွာခြားသလဲ SBOM?
An SBOM CVE ပြင်းထန်မှုအပေါ် အမှတ်ပေးထားသော open-source နှင့် third-party software dependencies များကို catalog များပြုလုပ်သည်။ AI-BOM သည် AI-specific risk scoring နှင့် regulatory mapping ဖြင့် AI-specific assets (မော်ဒယ်များ၊ agent များ၊ MCP server များ၊ dataset များ) ကို catalog ပေးသည်။ AI သည် တစ်ဝှမ်းတွင် ပျံ့နှံ့သွားသည်နှင့်အမျှ SDLCAI-BOM သည် အခြေခံအုတ်မြစ်ကဲ့သို့ ဖြစ်လာနေသည် SBOM.
shadow AI ဆိုတာ ဘာလဲ၊ ဘယ်လို ရှာဖွေတွေ့ရှိနိုင်မလဲ။
Shadow AI ဆိုတာ တရားဝင်ခွင့်ပြုချက် ဒါမှမဟုတ် အုပ်ချုပ်မှုမရှိဘဲ လက်ခံကျင့်သုံးတဲ့ မည်သည့် AI မဆို ဖြစ်ပါတယ်- ဖွင့်ထားတဲ့ copilot၊ ဒေသတွင်း MCP server၊ အများသုံး hub ကနေ ဆွဲထုတ်ထားတဲ့ မော်ဒယ်တစ်ခုပါ။ ကုဒ်ထဲကို ရောက်အောင်၊ တည်ဆောက်တဲ့ စဉ်ဆက်မပြတ် အလိုအလျောက် စာရင်းနဲ့ ရှာဖွေတွေ့ရှိနိုင်ပါတယ်။ pipelines နှင့် developer endpoints များ၊ shadow AI အများစု မပေါ်သည့် production cloud သာမက။
EU AI အက်ဥပဒေက AI စာရင်းတစ်ခု လိုအပ်ပါသလား။
EU AI အက်ဥပဒေတွင် “AI စာရင်း” ကို ရှင်းလင်းစွာ အမည်မဖော်ပြထားသော်လည်း၊ ၎င်း၏ မှတ်တမ်းတင်ခြင်း၊ အမျိုးအစားခွဲခြားခြင်းနှင့် မှတ်ပုံတင်ခြင်းတာဝန်များသည် အန္တရာယ်မြင့်မားသောစနစ်များအတွက် တစ်ခုမပါဘဲ ပြီးမြောက်ရန် မဖြစ်နိုင်ပါ။ AI စနစ်များ၏ စာရင်းကို ထိန်းသိမ်းရန် လိုအပ်သည့် NIST AI RMF (Map function, Govern 1.6) နှင့် ISO/IEC 42001 အတွက်လည်း အတူတူပင်ဖြစ်သည်။
AI-SPM ဆိုတာ ဘာလဲ။
AI လုံခြုံရေး အနေအထား စီမံခန့်ခွဲမှု (AI-SPM) ဆိုသည်မှာ AI ပိုင်ဆိုင်မှုများကို အဆက်မပြတ် ရှာဖွေတွေ့ရှိခြင်း၊ AI တိုက်ခိုက်မှုလမ်းကြောင်းတစ်လျှောက် ၎င်းတို့၏အန္တရာယ်ကို အမှတ်ပေးခြင်း၊ စည်းမျဉ်းစည်းကမ်းများနှင့် ကိုက်ညီအောင် မြေပုံဆွဲခြင်းနှင့် AI-BOM တစ်ခု ထုတ်လုပ်ခြင်း ဖြစ်သည်။ ၎င်းသည် အနေအထား စီမံခန့်ခွဲမှု အတွေးအခေါ် (CSPM နှင့် DSPM မှ ရင်းနှီးသည်) ကို AI-သီးသန့် ပိုင်ဆိုင်မှုများနှင့် တိုက်ခိုက်မှု လမ်းကြောင်းများအထိ တိုးချဲ့ပေးသည်။
AI စာရင်းကို မည်မျှမကြာခဏ အပ်ဒိတ်လုပ်သင့်သနည်း။
စဉ်ဆက်မပြတ်။ အဖွဲ့များသည် မော်ဒယ်အသစ်များကို လက်ခံကျင့်သုံးခြင်း၊ အေးဂျင့်အသစ်များ ဖြန့်ကျက်ခြင်းနှင့် MCP ဆာဗာအသစ်များကို ပြင်ဆင်သတ်မှတ်ခြင်းတို့ကို ပြုလုပ်သည်နှင့်အမျှ AI ပိုင်ဆိုင်မှုများသည် နေ့စဉ်ပြောင်းလဲနေပြီး ပုံမှန်အားဖြင့် တရားဝင်ခွင့်ပြုချက်မရှိဘဲဖြစ်သည်။ အချိန်နှင့်တပြေးညီ စကင်န်ဖတ်ခြင်းသည် ရက်အနည်းငယ်အတွင်း အသုံးမဝင်တော့သောကြောင့် ထိရောက်သော AI စာရင်းဆော့ဖ်ဝဲသည် တစ်ကြိမ်တည်းစစ်ဆေးမှုထက် ဆက်လက်လုပ်ဆောင်နေသော လုပ်ငန်းစဉ်တစ်ခုအဖြစ် လုပ်ဆောင်သည်။
source code မှာသုံးထားတဲ့ AI ကို ဘယ်လိုစာရင်းပြုစုရမလဲ။
ကုဒ်တွင် AI ကို စာရင်းပြုစုခြင်းဆိုသည်မှာ dependencies အဖြစ် ထည့်သွင်းထားသော AI မော်ဒယ်များနှင့် libraries များ၊ developer တစ်ဦးချင်းစီအတွက် configure လုပ်ထားသော AI coding assistant များနှင့် ဒေသတွင်းတွင် လည်ပတ်နေသော MCP server များ သို့မဟုတ် rule files များကို ရှာဖွေတွေ့ရှိခြင်း ဖြစ်သည်။ ၎င်းတွင် အတွင်းပိုင်းတွင် လုပ်ဆောင်သော discovery လိုအပ်ပါသည်။ SDLC (သိုလှောင်ရုံများ၊ တည်ဆောက်ပါ pipelinecloud console များတွင်သာမဟုတ်ဘဲ s နှင့် developer endpoints များ)။
