An د AI انوینټري ستاسو په سازمان کې د هرې مصنوعي ذخیرې دوامداره تازه شوي کتلاګ دی — ماډلونه، د AI لخوا پرمخ وړل شوي پای ټکي، ډیټاسیټونه، د AI کوډ کولو معاونین، د MCP سرورونه او د AI انحصارونه — د اړیکو، خطرونو او مالکینو سره یوځای چې دوی سره نښلوي. په امنیتي شرایطو کې دا د ګودام یا د ذخیرې د موجودۍ مدیریت سره هیڅ تړاو نلري؛ دلته، "د مصنوعي ذخیرې انوینټري" په ساده ډول دا معنی لري چې په سمه توګه پوه شئ چې تاسو کوم مصنوعي ذهانت چلوئ، چیرته ژوند کوي، او څه ته رسیدلی شي.
لکه څنګه چې AI د سافټویر پراختیا په هر پړاو کې خپریږي، په IDE کې د کوډ تولید څخه نیولې تر خپلواکو اجنټانو پورې چې دننه عمل کوي CI/CD pipelines، پوښتنه نور دا نه ده چې ایا ستاسو په چاپیریال کې AI شتون لري. دا ده چې ایا تاسو یې لیدلی شئ. دا لارښود تشریح کوي چې د AI انوینټري څه شی دی، دا څنګه د یو سره تړاو لري د مصنوعي ذهانت بم او د SBOM، ولې سیوري AI یوه امنیتي ستونزه ګرځیدلې ده، او دا چې عمل څنګه نقشه کوي د EU AI قانون, د NIST AI RMF او ISO / IEC 42001.
کليدي لارې
- د AI انوینټري ستاسو د سافټویر ژوند دوره کې هر ماډل، ډیټاسیټ، اجنټ، MCP سرور او AI کوډ کولو وسیلې کتلاګ کوي، نه یوازې هغه چې IT تصویب کړي.
- سایه AI، مصنوعي ذهانت پرته له حکومتدارۍ څخه منل شوی، اوس نورم دی، نه استثنا: د امنیتي مشرانو په ۲۰۲۶ کال کې په یوه سروې کې، یوازې ۱۹٪ سازمانونو په بشپړ ډول د دې په اړه راپور ورکړی چې مصنوعي ذهانت چیرته او څنګه کارول کیږي.
- An AI-BOM (د موادو AI لایحه) د AI انوینټري د پلټنې لپاره چمتو محصول دی: د AI دورې ځای ناستی SBOM.
- مقررات رارسېږي. د اروپايي اتحادیې د مصنوعي ذهانت قانون، NIST AI RMF او ISO/IEC 42001 ټول په مؤثره توګه له تاسو څخه غواړي چې پوه شئ چې تاسو کوم مصنوعي ذهانت کاروئ.
- انوینټري یوازې د پیل ټکی دی؛ ارزښت د خطر د نمرې ورکولو او د هغو لږ شمیر شتمنیو په اړه عمل کولو څخه راځي چې په ریښتیا سره مهم دي.
د AI انوینټري څه شی دی؟
د AI انوینټري هغه عمل دی چې ستاسو د سافټویر پراختیا ژوند دوره کې د هرې AI شتمنۍ کشف، لیست کول او په دوامداره توګه څارنه کوي، او هر یو سره تړلي خطرونه. یو بشپړ انوینټري د هرې شتمنۍ لپاره درې پوښتنې ځوابوي: دا څه شی دی، چیرته چلیږي، او څه ته لاسرسی کولی شي؟
دا ساحه د ډیری ټیمونو تمه څخه پراخه ده. د AI معنی لرونکې لیست باید پوښښ وکړي:
- موډلونو: د ژبې هر لوی ماډل او بنسټیز ماډل چې په پراختیا او تولید کې کارول کیږي، د نسخې، موقعیت او کشف باور سره.
- ډیټاسیټونه: د روزنې معلومات، د معلوماتو راټولول او د ویکتورونو ذخیره، په شمول د زهرجنو شرایطو سره مخ کیدل او د معلوماتو لیکیدل.
- استازي: خپلواک سیسټمونه چې ستاسو په چاپیریال کې اقدامات کوي، لکه پرانیستل pull requests، د انحصارونو نصب کول، یا د زیربنا لمس کول.
- د MCP سرورونه: د ماډل متن پروتوکول هغه سرورونه چې د AI مرستیالان د بهرنیو وسیلو، APIs او معلوماتو سرچینو سره وصل کوي.
- د AI کوډ کولو وسایل او مرستیالان: کوپائلټونه او IDE ادغامونه چې کوډ تولیدوي، انحصار وړاندیز کوي او د زیرمو سره تعامل کوي.
- د مصنوعي ذهانت چوکاټونه: لانګ چین، لانګ ګراف، د اجنټ سرورونه او نور د تنظیم کولو پرتونه چې ماډلونه د وسیلو او معلوماتو سره نښلوي.
- د شتمنیو ترمنځ اړیکې: د ماډلونو، اجنټانو، سرورونو، ډیټاسیټونو او د هغوی سره تړلي رازونو ترمنځ اړیکې. د اړیکو ګراف خطر په شرایطو کې ښکاره کوي، نه د فلیټ لیست په توګه.
د AI انوینټري د AI شتمنیو انوینټري د AI-BOM په مقابل کې، او دا چې دوی څنګه د یو څخه توپیر لري SBOM
دا اصطلاحات په نرمۍ سره کارول کیږي، نو دا مرسته کوي چې مخکې له مخکې ويcise. "AI انوینټري" او "AI د شتمنیو انوینټري" ورته شی تشریح کوي.: د مصنوعي ذهانت د شتمنیو او د هغوی د خطرونو ژوندۍ کتلاګ. یو AI-BOM هغه صادراتي اثار دي چې انوینټري یې تولیدوي: د موادو یو ماشین لوستلو وړ بل چې تاسو یې پلټونکي یا یو ته سپارلی شئ enterprise پیرودونکی.
د AI-BOM د پوهیدو لپاره ترټولو پاکه لاره د دې سره مشابهت دی SBOM:
لکه څنګه چې AI په ټوله کې ځای پر ځای کیږي SDLC، AI-BOM د SBOM، او امنیتي مشران په زیاتیدونکي توګه د پلټونکو څخه غوښتنې ترلاسه کوي او enterprise د دې اثار لپاره د تدارکاتو ټیمونه.
ولې د مصنوعي ذخیرې انوینټري اوس مهمه ده؟
درې ځواکونو د مصنوعي ذخیرې موجودیت له ښېګڼې څخه په لومړیتوب بدل کړی دی.
- لومړی، مصنوعي ذهانت په پیمانه ناامنه کوډ لیکي. خپلواکې څېړنې په دوامداره توګه موندلې چې د AI لخوا تولید شوي کوډونو لویه برخه زیان منونکي دي. د پیرس او نورو لخوا د اصلي NYU/Copilot مطالعې نږدې وموندله د تولید شویو پروګرامونو ۴۰٪ امنیتي کمزورتیاوې درلودې، او وروستي لوی پیمانه ازموینې په ورته ډول ټکي کوي: د ویراکود 2025 تحلیل په 100+ ماډلونو کې یوازې وموندل شو د مصنوعي ذهانت له لارې تولید شوي کوډ ۵۵٪ خوندي وو. که تاسو نه پوهیږئ چې کوم مرستیالان ستاسو په pipelines، تاسو نشئ کولی دا خطر اداره کړئ.
- دوهم، د سافټویر رسولو سلسله د مصنوعي ذهانت د برید سطحه ګرځیدلې ده. په سپتمبر 2025 کې ، شای هولود، د لومړي ځان تبلیغ کونکي npm ورم ، د پراختیا کونکي ماشینونه د توزیع میکانیزم ته واړول ، چې په سلګونو کڅوړو کې خپور شو. د مارچ په 2026 کې ، برید کونکو جوړجاړی وکړ محورونه، یوه بسته چې تقریبا ۱۰۰ میلیونه اونۍ ډاونلوډونه، د زهرجنو نسخو خپرول چې د ریموټ لاسرسي ټروجن یې غورځولی. د دې په څیر بریدونه په سمه توګه د دودیز AppSec او پای ټکي وسیلې ترمنځ پرت کې ځای په ځای کیږي: هغه پرت چې د AI انوینټري روښانه کولو لپاره جوړ شوی.
- دریم، رازونه او اسناد د مصنوعي ذهانت له لارې خپریږي. د ګیټ ګارډین د رازونو د خپریدو حالت ۲۰۲۶ راپور ورکړ چې د مصنوعي ذهانت د خدماتو د رازونو افشا کول د کال په پرتله ۸۱٪ زیات شوي دي، او دا چې د مصنوعي ذهانت په مرسته commits leak secrets د اساسې نرخ څخه تقریبا دوه چنده. هر غیر مستند ماډل، اجنټ یا MCP سرور د اعتبار لپاره احتمالي لاره ده.
دودیز AppSec په ذخیره کې ودریږي او نه پوهیږي چې ماډل څه شی دی. د پای ټکي وسیلې عملیاتي سیسټم ګوري مګر پیکجونه، MCP سرورونه یا د AI معاونین نه پوهیږي. د دوی ترمنځ واټن هغه ځای دی چې د AI خطر راټولیږي، او انوینټري د هغې د تړلو لپاره لومړی ګام دی.
چیرته چې AI پټ دی: په ټوله کې سیوري AI SDLC
سایه AI ایا کوم مصنوعي ذهانت سیسټم پرته له رسمي تصویب یا حکومتدارۍ څخه منل شوی دی: د یوې پرمخ وړونکې همکارې ډلې چې تیره اونۍ فعاله شوې، د MCP سرور چې په لپ ټاپ کې روان دی، ماډل مستقیم له عامه مرکز څخه یوې اړخیزې پروژې ته راښکته شوی. دا یو څنډه قضیه نه ده. د 400+ امنیتي مشرانو په 2026 سروې کې، یوازې ۱۹٪ د بشپړ لید راپور ورکړ چې چیرته او څنګه AI کارول کیږي په خپل سازمان کې، پداسې حال کې چې لوی اکثریت یې دمخه د AI کوډ کولو معاونین کاروي یا یې پیلوټ کوي.
د سایې AI موندل تر ټولو سخت دي چې د سافټویر ژوند دورې دننه AI وي، ځکه چې دا په ندرت سره په کلاوډ کنسول کې څرګندیږي:
- ماډلونه او د مصنوعي ذهانت کتابتونونه د انحصار په توګه زیرمو ته راوړل شول.
- د مصنوعي ذهانت کوډ کولو معاونین د هر پراختیا کونکي لپاره، د هر IDE لپاره تنظیم شوي.
- د MCP سرورونه او د قاعدې فایلونه په محلي ډول د پراختیا کونکي په پای ټکو کې روان دي.
- د اجنټ کاري جریان په خاموشۍ سره پرانیستل کیږي pull requests یا د کڅوړو نصب کول.
له همدې امله یوازې د کلاوډ کشف کافي نه دی. یو ریښتینی بشپړ AI انوینټري باید کوډ او جوړونې چاپیریالونو ته ورسیږي (د پراختیا کونکي لیپ ټاپ، ذخیره، pipeline)، نه یوازې د تولید بادل.
په AI-BOM کې څه شی دی؟
د پلټنې لپاره چمتو AI-BOM ستاسو انوینټري په هغه څه بدلوي چې تاسو یې ثابتولی شئ. لږترلږه، دا باید پکې شامل وي:
- د مصنوعي ذهانت هره شتمني: ماډلونه، ډیټاسیټونه، اجنټان، د MCP سرورونه، د مصنوعي ذهانت کوډ کولو وسایل.
- د هر یو لپاره د شتمنۍ ډول، موقعیت او د کشف باور.
- اصل او انحصار (چېرته چې ماډل یا جز راغلی).
- د هرې شتمنۍ د خطر کچه، د AI ځانګړي برید ویکتورونو پراساس.
- د اروپايي اتحادیې د مصنوعي ذهانت قانون، NIST AI RMF او ISO/IEC 42001 سره تنظیمي نقشه.
- د پلټونکو او پیرودونکو لپاره د صادراتو وړ، ماشین لوستلو وړ بڼه.
هغه سازمانونه چې کولی شي د غوښتنې سره سم AI-BOM رامینځته کړي د AI تفتیش مکلفیتونو د بشپړیدو سره به د اطاعت او باور ریښتینې ګټه ولري.
د مصنوعي ذهانت موجودیت او اطاعت: د اروپايي اتحادیې د مصنوعي ذهانت قانون، د NIST AI RMF او ISO/IEC 42001
هیڅ یو لوی چوکاټ "AI انوینټري" د لاین توکي په توګه نه نوموي، مګر هر یو یې پرته له دې څخه پوره کول په مؤثره توګه ناممکن دي. تاسو نشئ کولی د AI سیسټمونه مستند کړئ، طبقه بندي کړئ یا اداره کړئ چې تاسو یې نشئ لیدلی.
د وخت په اړه یوه یادونه: د اروپايي اتحادیې د مصنوعي ذمه وارۍ قانون پلي کول د می ۲۰۲۶ "ډیجیټل اومنیبس" تړون لخوا تعدیل شو، کوم چې ډیری لوړ خطر لرونکي مکلفیتونه د دسمبر ۲۰۲۷ ته وځنډول، پداسې حال کې چې د اګست ۲، ۲۰۲۶ ډیری مهمې مرحلې ژوندۍ ساتل شوې (د شفافیت دندې، د GPAI جریمې واکونه). دقیقې نیټې د حرکت هدف په توګه چلند وکړئ او د اروپايي اتحادیې د لومړنیو سرچینو په وړاندې تایید کړئ. مګر د سفر لار روښانه ده، او موجودي د دې ټولو لپاره شرط دی.
د AI انوینټري څنګه جوړ او ساتل کیږي
د انوینټري جوړول د یو ځلي پلټنې په اړه لږ او د دوامداره پروسې رامینځته کولو په اړه ډیر دي، ځکه چې د AI شتمنۍ په دوامداره توګه بدلیږي: نوي ماډلونه منل شوي، نوي اجنټان ځای پر ځای شوي، نوي MCP سرورونه تنظیم شوي، ډیری وختونه پرته له تصویب څخه.
یوه عملي لاره:
- په کوډ، جوړونې او کلاوډ کې په اتوماتيک ډول کشف کړئ. لاسي سپریډ شیټونه په څو ورځو کې زاړه کیږي. کشف باید په دوامداره توګه پرمخ ولاړ شي او تر SDLC، نه یوازې د چلولو وخت.
- اړیکې طبقه بندي او نقشه کړئ. د ریکارډ ډول، موقعیت، اصلیت او په جدي توګه، څنګه هره شتمني له نورو او رازونو سره وصل کیږي.
- په شرایطو کې د خطر نمره. د سلګونو موندنو یو فلیټ لیست له هیچا سره مرسته نه کوي؛ د هغه څه په اساس لومړیتوب ورکړئ چې په حقیقت کې د لاسرسي وړ، د ګټې اخیستنې وړ او د سوداګرۍ لپاره مهم دي.
- ملکیت ورکړئ. هره شتمني یو مسؤل مالک ته اړتیا لري.
- دا ژوندی او د صادرولو وړ وساتئ. دا د دوامداره موجودۍ په توګه وساتئ چې کولی شي د غوښتنې سره سم AI-BOM تولید کړي.
په AI انوینټري سافټویر کې څه باید وګورو
که تاسو د وسایلو ارزونه کوئ، دا هغه وړتیاوې دي چې اصلي AI انوینټري سافټویر د جامد لیست څخه جلا کوي:
- د AI ځانګړي شتمنیو ډولونه پوهیږي (ماډلونه، اجنټان، د MCP سرورونه، ډیټاسیټونه)، نه یوازې پیکجونه او کتابتونونه.
- ته رسیږي SDLC، په کوډ او د پراختیا کونکو په پای ټکو کې د AI کشف کول، نه یوازې په کلاوډ کې.
- د نقشې اړیکې، نه یوازې انفرادي شتمنۍ، نو خطر په شرایطو کې لیدل کیږي.
- د AI ځانګړو برید ویکتورونو خطر نمرې کوي (فوري انجیکشن، ناامنه MCP، ډیره اداره)، نه یوازې د CVE شدت.
- په دوامداره توګه چلیږي، د نوي مصنوعي ذهانت نیول لکه څنګه چې ښکاري.
- د پلټنې لپاره چمتو AI-BOM تولیدوي چې دواړه پلټونکي قانع کړي او enterprise تدارکات.
- انوینټري د تطبیق سره نښلوي، نو تاسو کولی شئ په هغه څه عمل وکړئ چې تاسو یې ومومئ.
له موجودي څخه تر عمل پورې: هغه څه خوندي کول چې تاسو یې ومومئ
کشف لومړی ګام دی؛ دوهم دا دی چې پوه شي چې کومې شتمنۍ ریښتینې خطر لري، ځکه چې ډیری به یې ونه لري. هدف دا دی چې د زرګونو خامو موندنو څخه هغو محدودو موندنو ته لاړ شي چې په حقیقت کې سیسټمونه، معلومات یا عملیات زیانمنولی شي: هغه چې په فعاله توګه کارول کیږي، بې باوره معلومات مني، په واقعیت کې د ګټې اخیستنې وړ دي، حساس لاسرسی لري، او تولید یا تنظیم شوي شتمنۍ اغیزمنوي.
دا هغه ځای دی چې د AI امنیتي پوست مدیریت (د AI-SPM) پورته کوي: د موجودۍ اخیستل، د AI برید په لاره کې د خطر نمرې کول، د مقرراتو سره سم یې نقشه کول، او د AI-BOM تولید کول. دا هغه ځای دی چې موجودي د تطبیق سره مخ کیږي: د نصبولو دمخه د ناوړه انحصارونو بندول، د غیر منظور شوي MCP سرورونو او ماډلونو رد کول، او د پیښې خپریدو دمخه د جوړ شوي پای ټکي شاملول.
At ژیګیني، دا هغه ماډل دی چې موږ یې په لور جوړوو: د AI-SPM له لارې دوامداره AI انوینټري او AI-BOM، د مالویر کشف چې د لاسلیک شتون دمخه ناوړه کڅوړې نیسي (MEW، د مالویر دمخه خبرداری)، او د Xygeni Shield له لارې د پراختیا کونکي په پای کې د پالیسۍ پلي کول. کشف د LLM غوښتنلیکونو لپاره د OWASP غوره 10، د اجنټیک ایپسونو لپاره د OWASP غوره 10 او د OWASP MCP غوره 10 سره سمون لري. مګر هر هغه طریقه چې تاسو یې غوره کوئ، اصل لري: تاسو هغه څه خوندي نشئ کولی چې تاسو یې نشئ لیدلی، او د AI انوینټري هغه ځای دی چې لید پیل کیږي.
FAQs
څنګه یو AI-BOM د یو څخه توپیر لري؟ SBOM?
An SBOM د خلاصې سرچینې او دریمې ډلې سافټویر انحصارونو کتلاګونه، د CVE شدت په اساس نمرې شوي. یو AI-BOM د AI ځانګړي شتمنۍ (ماډلونه، اجنټان، MCP سرورونه، ډیټاسیټونه) د AI ځانګړي خطر نمرې او تنظیمي نقشې سره لیست کوي. لکه څنګه چې AI په ټوله کې خپریږي SDLC، AI-BOM د SBOM.
سیوري AI څه شی دی او څنګه یې کشف کړم؟
سیوري AI هر هغه AI دی چې د رسمي تصویب یا حکومتدارۍ پرته منل شوی وي: یو فعال شریک پیلوټ، یو محلي MCP سرور، یو ماډل چې د عامه مرکز څخه اخیستل شوی. تاسو دا د دوامداره اتوماتیک انوینټري سره ومومئ چې کوډ، جوړونې ته رسیږي. pipelines او د پراختیا کونکي پای ټکي، نه یوازې د تولید کلاوډ چیرې چې ډیری سیوري AI هیڅکله نه ښکاري.
ایا د اروپايي اتحادیې د مصنوعي ذخیرې قانون د مصنوعي ذخیرې انوینټري ته اړتیا لري؟
د اروپايي اتحادیې د مصنوعي ذهانت قانون په ښکاره ډول د "AI انوینټري" نوم نه اخلي، مګر د لوړ خطر سیسټمونو لپاره د هغې اسناد، طبقه بندي او راجسټریشن دندې د یو پرته ترسره کول ناممکن دي. د NIST AI RMF (نقشه فعالیت، حکومت 1.6) او ISO/IEC 42001 لپاره هم همداسې ده، کوم چې د مصنوعي ذهانت سیسټمونو انوینټري ساتلو ته اړتیا لري.
AI-SPM څه شی دی؟
د مصنوعي ذهانت د امنیتي پوست مدیریت (AI-SPM) د مصنوعي ذهانت د شتمنیو په دوامداره توګه کشف کول، د مصنوعي ذهانت د برید په لاره کې د هغوی خطرونه اندازه کول، د هغوی تنظیم ته نقشه کول، او د مصنوعي ذهانت د BOM تولیدول دي. دا د مصنوعي ذهانت د مدیریت فکر (د CSPM او DSPM څخه بلد) د مصنوعي ذهانت ځانګړو شتمنیو او د برید ویکتورونو ته غځوي.
د مصنوعي ذخیرې انوینټري باید څو ځله تازه شي؟
په دوامداره توګه. د مصنوعي ذهانت شتمنۍ هره ورځ بدلیږي ځکه چې ټیمونه نوي ماډلونه غوره کوي، نوي اجنټان ځای پر ځای کوي او نوي MCP سرورونه تنظیموي، معمولا پرته له رسمي تصویب څخه. د پوائنټ ان ټایم سکین په څو ورځو کې زوړ کیږي، نو د مصنوعي ذهانت اغیزمن سافټویر د یو ځل تفتیش پرځای د روانې پروسې په توګه پرمخ ځي.
زه څنګه د سرچینې کوډ کې کارول شوي AI انوینټري کړم؟
په کوډ کې د AI انوینټري کول پدې معنی دي چې د انحصار په توګه د AI ماډلونه او کتابتونونه کشف کول، د هر پراختیا کونکي لپاره ترتیب شوي AI کوډ کولو معاونین، او د MCP سرورونه یا د قواعدو فایلونه چې په محلي ډول روان دي. دا کشف ته اړتیا لري چې دننه کار کوي. SDLC (ذخیرې، جوړول pipelines او د پراختیا کونکي پای ټکي) نه یوازې په کلاوډ کنسولونو کې.
