An Инвентаризатсияи зеҳни сунъӣ каталоги пайваста навшавандаи ҳар як дороии зеҳни сунъӣ мебошад, ки дар тамоми ташкилоти шумо кор мекунад — моделҳо, нуқтаҳои ниҳоии бо зеҳни сунъӣ коркунанда, маҷмӯаҳои додаҳо, ёварони рамзгузории зеҳни сунъӣ, серверҳои MCP ва вобастагиҳои зеҳни сунъӣ — дар якҷоягӣ бо муносибатҳо, хатарҳо ва соҳибоне, ки онҳоро мепайванданд. Дар заминаи амният, ин ба идоракунии анбор ё захираҳо ҳеҷ рабте надорад; дар ин ҷо, "Инвентаризатсияи зеҳни сунъӣ" танҳо маънои донистани он ки шумо аз кадом зеҳни сунъӣ истифода мебаред, он дар куҷо зиндагӣ мекунад ва ба чӣ дастрасӣ пайдо карда метавонад.
Азбаски зеҳни сунъӣ дар ҳар марҳилаи таҳияи нармафзор паҳн мешавад, аз тавлиди код дар IDE то агентҳои мустақил дар дохили он CI/CD pipelineс, савол дигар дар он нест, ки оё зеҳни сунъӣ дар муҳити шумо мавҷуд аст ё не. Ин аст, ки оё шумо метавонед онро бубинед ё не. Ин дастур шарҳ медиҳад, ки инвентаризатсияи зеҳни сунъӣ чист ва он чӣ гуна бо он алоқаманд аст AI-BOM ва а SBOM, чаро сояи AI ба мушкили амниятӣ табдил ёфтааст ва чӣ гуна ин амалия ба он мувофиқат мекунад Санади ИА дар бораи AI, NIST AI RMF ва ISO / IEC 42001.
Андешидани калидҳо
- Инвентаризатсияи зеҳни сунъӣ ҳар як модел, маҷмӯи додаҳо, агент, сервери MCP ва абзори рамзгузории зеҳни сунъиро дар тамоми давраи ҳаёти нармафзори шумо феҳрист мекунад, на танҳо онҳое, ки аз ҷониби IT тасдиқ шудаанд.
- Сояи AI, зеҳни сунъӣ бидуни идоракунӣ қабул шудааст, ҳоло меъёр аст, на истисно: дар як пурсиши соли 2026 дар бораи роҳбарони амниятӣ, танҳо 19% ташкилотҳо дар бораи дастрасии пурра дар куҷо ва чӣ гуна истифода шудани зеҳни сунъӣ хабар доданд.
- An AI-BOM (Нусхаи маводҳои AI) натиҷаи омода барои аудити инвентаризатсияи зеҳни сунъӣ аст: вориси давраи зеҳни сунъӣ барои SBOM.
- Қоидаҳо дар ҳоли қабул ҳастанд. Қонуни ИА дар бораи зеҳни сунъӣ, RMF NIST AI ва ISO/IEC 42001 ҳама аз шумо талаб мекунанд, ки бидонед, ки кадом зеҳни сунъиро истифода мебаред.
- Инвентаризатсия танҳо нуқтаи ибтидоӣ аст; арзиш аз баҳодиҳии хатар ва амал кардан ба шумораи ками дороиҳое, ки воқеан муҳиманд, ба даст меояд.
Инвентаризатсияи зеҳни сунъӣ чист?
Феҳристи зеҳни сунъӣ амалияи кашф, феҳристбандӣ ва назорати пайвастаи ҳар як дороии зеҳни сунъӣ мебошад, ки дар тӯли давраи ҳаёти таҳияи нармафзори шумо фаъолият мекунад ва хатарҳои марбут ба ҳар яки онҳо. Феҳристи пурра ба се савол барои ҳар як дорои ҷавоб медиҳад: он чист, дар куҷо кор мекунад ва ба чӣ дастрасӣ дорад?
Ин доираи фаъолият нисбат ба он ки аксари дастаҳо интизор доранд, васеътар аст. Рӯйхати пурмазмуни зеҳни сунъӣ бояд инҳоро дар бар гирад:
- моделҳоиҳар як модели бузурги забонӣ ва модели бунёдӣ, ки дар тамоми рушд ва истеҳсолот истифода мешавад, бо версия, макон ва эътимоди ошкоркунӣ.
- Datasetsмаълумоти омӯзишӣ, маҷмӯи додаҳои барқароркунӣ ва анборҳои векторӣ, аз ҷумла дучоршавӣ ба контексти заҳролуд ва ихроҷи маълумот.
- агентонсистемаҳои худмухтор, ки дар муҳити шумо амалҳоро анҷом медиҳанд, ба монанди кушодан pull requests, насб кардани вобастагиҳо ё ламс кардани инфрасохтор.
- Серверҳои MCP: Протоколи контексти намунавӣ серверҳое, ки ёварони зеҳни сунъиро ба абзорҳои беруна, API ва манбаъҳои додаҳо пайваст мекунанд.
- Воситаҳо ва ёварони рамзгузории зеҳни сунъӣ: ҳампилотҳо ва интегратсияҳои IDE, ки рамз тавлид мекунанд, вобастагиҳоро пешниҳод кунед ва бо анборҳо ҳамкорӣ кунед.
- Чаҳорчӯбаҳои зеҳни сунъӣLangChain, LangGraph, серверҳои агентӣ ва дигар қабатҳои оркестрӣ, ки моделҳоро ба абзорҳо ва маълумот пайваст мекунанд.
- Муносибатҳои байни дороиҳо: робитаҳои байни моделҳо, агентҳо, серверҳо, маҷмӯи додаҳо ва асрори ба онҳо алоқаманд. Графики муносибат хатарро дар контекст намоён мекунад, на ҳамчун рӯйхати ҳамвор.
Захираи зеҳни сунъӣ vs захираи дороиҳои зеҳни сунъӣ ва AI-BOM ва чӣ гуна онҳо аз якхела фарқ мекунанд SBOM
Ин истилоҳот озодона истифода мешаванд, аз ин рӯ, пешакӣ будан муфид астcise. «Инвентаризатсияи зеҳни сунъӣ» ва «инвентаризатсияи дороиҳои зеҳни сунъӣ» як чизро тавсиф мекунанд: каталоги зиндаи дороиҳои зеҳни сунъӣ ва хатарҳои онҳо. AI-BOM артефакти содиротӣ аст, ки инвентаризатсия истеҳсол мекунад: рӯйхати маводҳое, ки шумо метавонед онҳоро ба аудитор ё аудитор супоред, ки дар мошин хондашаванда аст enterprise харидор.
Роҳи тозатарини фаҳмидани AI-BOM ин қиёс кардан аст SBOM:
Вақте ки зеҳни сунъӣ дар саросари ҷаҳон ҷойгир мешавад SDLC, AI-BOM мисли SBOMва роҳбарони амниятӣ аз аудиторҳо ва enterprise гурӯҳҳои харид барои маҳз ҳамин ашёи нодир.
Чаро инвентаризатсияи зеҳни сунъӣ ҳоло муҳим аст
Се қувва инвентаризатсияи зеҳни сунъиро аз як чизи хуб ба як афзалият табдил доданд.
- Аввалан, зеҳни сунъӣ рамзи ноамнро дар миқёси васеъ менависад. Таҳқиқоти мустақил мунтазам нишон медиҳанд, ки қисми зиёди рамзҳои тавлидшуда аз ҷониби зеҳни сунъӣ бо осебпазириҳо интиқол дода мешаванд. Тадқиқоти аслии NYU/Copilot аз ҷониби Пирс ва ҳамкоронаш тақрибан муайян карда шуд. 40% барномаҳои тавлидшуда дорои камбудиҳои амниятӣ буданд, ва озмоишҳои миқёси калонтари ахир ба ҳамин монандро нишон медиҳанд: таҳлили Veracode дар соли 2025 дар зиёда аз 100 модел танҳо дар ... ёфт шуд. 55% рамзи тавлидшуда аз ҷониби зеҳни сунъӣ бехатар будАгар шумо намедонед, ки кадом ёварон дар системаи шумо рамз эҷод мекунанд. pipelineс, шумо наметавонед ин хатарро идора кунед.
- Дуюм, занҷираи таъминоти нармафзор ба сатҳи ҳамла ба зеҳни сунъӣ табдил ёфтааст. Дар моҳи сентябри соли 2025, Шай Хулуд, аввалин кирми худпаҳншавандаи npm, мошинҳои таҳиягарро ба механизми тақсимот табдил дод ва дар садҳо баста паҳн шуд. Дар моҳи марти соли 2026, ҳамлагарон ба системаҳои иттилоотӣ ҳамла карданд. axios, бастае бо тақрибан 100 миллион зеркашии ҳафтаина, нашри версияҳои заҳролуде, ки трояни дастрасии дурдастро партофтаанд. Ҳамлаҳои ба ин монанд маҳз дар қабати байни абзорҳои анъанавии AppSec ва нуқтаи ниҳоӣ ҷойгир мешаванд: қабате, ки инвентаризатсияи зеҳни сунъӣ барои равшан кардани он сохта шудааст.
- Сеюм, асрор ва эътимодномаҳо тавассути зеҳни сунъӣ фош мешаванд. Дар ин бора дар маҷаллаи "Сирҳои давлатӣ 2026"-и GitGuardian гузориш дода шудааст. Шумораи ихроҷи асрори хидматрасонии зеҳни сунъӣ дар муқоиса бо соли гузашта 81% афзоиш ёфтааст, ва он ки бо ёрии зеҳни сунъӣ commits leak secretтақрибан ду баробар аз сатҳи асосӣ. Ҳар як модели беҳуҷҷат, агент ё сервери MCP роҳи эҳтимолӣ ба эътимоднома аст.
AppSec-и анъанавӣ дар анбори маълумот меистад ва намефаҳмад, ки модел чист. Воситаҳои Endpoint системаи амалиётиро назорат мекунанд, аммо бастаҳо, серверҳои MCP ё ёварони зеҳни сунъиро намефаҳманд. Фосилаи байни онҳо ҷоест, ки хатари зеҳни сунъӣ ҷамъ мешавад ва инвентаризатсия қадами аввал барои бастани он аст.
Ҷое ки зеҳни сунъӣ пинҳон мешавад: сояи зеҳни сунъӣ дар саросари ҷаҳон SDLC
Сояи AI оё ягон системаи зеҳни сунъӣ бе тасдиқи расмӣ ё идоракунӣ қабул шудааст: copilot аз ҷониби таҳиягар ҳафтаи гузашта фаъол карда шудааст, сервери MCP дар ноутбук кор мекунад, модел мустақиман аз маркази ҷамъиятӣ ба лоиҳаи иловагӣ кашида шудааст. Ин як ҳолати ниҳоӣ нест. Дар пурсиши соли 2026, ки дар зиёда аз 400 роҳбарони амниятӣ гузаронида шуд, танҳо... 19% гузориш доданд, ки дар куҷо ва чӣ гуна истифода шудани зеҳни сунъӣ пурра намоён аст. дар саросари ташкилоти худ, дар ҳоле ки аксарияти мутлақ аллакай ёварони рамзгузории зеҳни сунъиро истифода мебурданд ё онҳоро озмоиш мекарданд.
Сояи зеҳни сунъии душвортарин ин зеҳни сунъӣ дар дохили давраи ҳаёти нармафзор аст, зеро он кам дар консоли абрӣ пайдо мешавад:
- Моделҳо ва китобхонаҳои зеҳни сунъӣ ҳамчун вобастагӣ ба анборҳо ворид карда шуданд.
- Ёрдамчиёни рамзгузории зеҳни сунъӣ барои ҳар як таҳиягар ва барои ҳар як IDE танзим карда шудаанд.
- Серверҳои MCP ва файлҳои қоида, ки дар нуқтаҳои ниҳоии таҳиягар ба таври маҳаллӣ кор мекунанд.
- Ҷараёнҳои кории агентӣ оромона кушода мешаванд pull requests ё насб кардани бастаҳо.
Аз ин рӯ, кашфи танҳо тавассути абр кофӣ нест. Феҳристи воқеан пурраи зеҳни сунъӣ бояд ба код ва муҳитҳои сохташаванда (ноутбуки таҳиягар, анбори захиравӣ, pipeline), на танҳо абрҳои истеҳсолӣ.
Чӣ ба AI-BOM тааллуқ дорад
AI-BOM, ки барои аудит омода аст, инвентаризатсияи шуморо ба чизе табдил медиҳад, ки шумо метавонед исбот кунед. Ҳадди ақал, он бояд инҳоро дар бар гирад:
- Ҳар як дороии зеҳни сунъӣ: моделҳо, маҷмӯи додаҳо, агентҳо, серверҳои MCP, абзорҳои рамзгузории зеҳни сунъӣ.
- Навъи дороиҳо, макон ва эътимоднокии муайянкунӣ барои ҳар яки онҳо.
- Манбаъ ва вобастагиҳо (аз куҷо модел ё ҷузъ пайдо шудааст).
- Сатҳи хатар барои як дороӣ, бар асоси векторҳои ҳамлаи мушаххаси зеҳни сунъӣ.
- Харитасозии меъёрӣ ба Қонуни ИА дар бораи зеҳни сунъӣ, RMF NIST AI ва ISO/IEC 42001.
- Формати содиротӣ ва хондашавандаи мошинӣ барои аудиторҳо ва муштариён.
Ташкилотҳое, ки метавонанд AI-BOM-ро бо дархост эҷод кунанд, бо ба итмом расидани ӯҳдадориҳои аудити AI бартарии воқеии риоя ва эътимод хоҳанд дошт.
Инвентаризатсия ва риояи қоидаҳои зеҳни сунъӣ: Қонуни ИА оид ба зеҳни сунъӣ, RMF-и зеҳни сунъии NIST ва ISO/IEC 42001
Ҳеҷ яке аз чаҳорчӯбаҳои асосӣ "инвентаризатсияи зеҳни сунъӣ"-ро ҳамчун як банд номбар намекунад, аммо қонеъ кардани ҳар яки онҳо бе он имконнопазир аст. Шумо наметавонед системаҳои зеҳни сунъиро, ки дида наметавонед, ҳуҷҷатгузорӣ, тасниф ё идора кунед.
Эзоҳ дар бораи вақт: татбиқи Қонуни ИА дар бораи зеҳни сунъӣ аз ҷониби созишномаи "Омнибуси рақамӣ" дар моҳи майи соли 2026 таҷдиди назар карда шуд, ки аксари ӯҳдадориҳои хавфи баландро то декабри соли 2027 мавқуф гузошт ва дар айни замон якчанд марҳилаҳои муҳими 2 августи соли 2026 (боҷҳои шаффофият, ваколатҳои ҷаримавии GPAI)-ро нигоҳ дошт. Санаҳои дақиқро ҳамчун ҳадафи ҳаракаткунанда баррасӣ кунед ва бо манбаъҳои асосии ИА тасдиқ кунед. Аммо самти сафар равшан аст ва инвентаризатсия шарти пешакии ҳамаи ин аст.
Чӣ тавр инвентаризатсияи зеҳни сунъиро сохтан ва нигоҳ доштан мумкин аст
Сохтани инвентаризатсия камтар ба аудити якдафъаина ва бештар ба таъсиси раванди пайваста вобаста аст, зеро дороиҳои зеҳни сунъӣ доимо тағйир меёбанд: моделҳои нав қабул карда шудаанд, агентҳои нав ҷойгир карда шудаанд, серверҳои нави MCP танзим карда шудаанд, аксар вақт бе тасдиқ.
Як равиши амалӣ:
- Ба таври худкор дар байни рамз, сохтан ва абр кашф кунед. Ҷадвалҳои дастӣ дар давоми чанд рӯз кӯҳна мешаванд. Discovery бояд пайваста кор кунад ва ба онҳо дастрасӣ пайдо кунад. SDLC, на танҳо вақти иҷро.
- Муносибатҳоро тасниф ва харитабандӣ кунед. Навъи сабт, макон, пайдоиш ва, муҳимтар аз ҳама, чӣ гуна ҳар як дорои бо дигарон ва бо асрор пайваст мешавад.
- Баҳодиҳии хатар дар контекст. Рӯйхати мураттаби садҳо бозёфт ба касе кӯмак намекунад; афзалиятҳоро аз рӯи он чизе, ки воқеан дастрас, истифодашаванда ва барои тиҷорат муҳим аст, муайян кунед.
- Ҳуқуқи моликиятро таъин кунед. Ҳар як дорои ба соҳиби масъулиятшинос ниёз дорад.
- Онро зинда ва содиршаванда нигоҳ доред. Онро ҳамчун инвентаризатсияи пайваста нигоҳ доред, ки метавонад AI-BOM-ро тибқи талабот тавлид кунад.
Дар нармафзори инвентаризатсияи зеҳни сунъӣ ба чӣ диққат додан лозим аст
Агар шумо абзорҳоро арзёбӣ кунед, инҳо қобилиятҳое мебошанд, ки нармафзори воқеии инвентаризатсияи зеҳни сунъиро аз рӯйхати статикӣ ҷудо мекунанд:
- Намудҳои дороиҳои хоси зеҳни сунъиро мефаҳмад (моделҳо, агентҳо, серверҳои MCP, маҷмӯаҳои додаҳо), на танҳо бастаҳо ва китобхонаҳо.
- Ба он мерасад SDLC, кашф кардани зеҳни сунъӣ дар код ва дар нуқтаҳои ниҳоии таҳиягар, на танҳо дар абр.
- Муносибатҳои харитаҳо, на танҳо дороиҳои алоҳида, аз ин рӯ хатар дар контекст намоён аст.
- Хатарро дар векторҳои ҳамлаи мушаххаси зеҳни сунъӣ баҳо медиҳад (тазриқи фаврӣ, MCP-и ноамн, агентии аз ҳад зиёд), на танҳо шиддати CVE.
- Пайваста кор мекунад, дарёфти зеҳни сунъии нав, чунон ки ба назар мерасад.
- AI-BOM-и омода барои аудитро таҳия мекунад ки ҳам аудиторҳо ва ҳам аудиторҳоро қонеъ мегардонад enterprise харид.
- Инвентаризатсияро бо иҷрои қонун пайваст мекунад, то шумо метавонед мувофиқи он чизе, ки ёфтед, амал кунед.
Аз инвентаризатсия то амал: таъмини он чизе, ки шумо ёфтед
Кашф кардан қадами аввал аст; қадами дуюм фаҳмидани он аст, ки кадом дороиҳо хатари воқеӣ доранд, зеро аксари онҳо ин корро намекунанд. Ҳадаф гузаштан аз ҳазорҳо кашфиётҳои хом ба чанд кашфиётест, ки воқеан метавонанд системаҳо, маълумот ё амалиётро зери хатар гузоранд: онҳое, ки дар истифодаи фаъол қарор доранд, вуруди беэътимодро қабул мекунанд, воқеан истифодашавандаанд, дастрасии ҳассос доранд ва ба истеҳсолот ё дороиҳои танзимшаванда таъсир мерасонанд.
Ин ҷоест, ки идоракунии ҳолати амнияти зеҳни сунъӣ (AI-SPM) интихоб мекунад: гирифтани инвентаризатсия, баҳодиҳии хатар дар масири ҳамлаи зеҳни сунъӣ, харитасозии он ба танзим ва тавлиди AI-BOM. Инчунин дар ин ҷо инвентаризатсия бо иҷрои қонун вомехӯрад: бастани вобастагиҳои зараровар пеш аз насб, рад кардани серверҳо ва моделҳои тасдиқнашудаи MCP ва маҳдуд кардани нуқтаҳои ниҳоии осебдида пеш аз паҳн шудани ҳодиса.
At Ксигенӣ, ин моделест, ки мо ба сӯи он сохтаем: инвентаризатсияи пайвастаи зеҳни сунъӣ ва AI-BOM тавассути AI-SPM, муайянкунии нармафзори зараровар, ки бастаҳои зарароварро пеш аз мавҷуд будани имзо муайян мекунад (MEW, Огоҳиномаи барвақти нармафзори зараровар), ва татбиқи сиёсат дар нуқтаи ниҳоии таҳиягар тавассути Xygeni Shield. Ошкоркунӣ бо 10 беҳтарини OWASP барои барномаҳои LLM, 10 беҳтарини OWASP барои барномаҳои агентӣ ва 10 беҳтарини OWASP MCP мувофиқ аст. Аммо новобаста аз он ки шумо кадом равишро интихоб мекунед, принсип амал мекунад: Шумо наметавонед он чизеро, ки дида наметавонед, ҳифз кунед ва инвентаризатсияи зеҳни сунъӣ ҷоест, ки намоёнӣ оғоз меёбад.
фуруд
Чӣ тавр AI-BOM аз a фарқ мекунад? SBOM?
An SBOM каталогҳои вобастагии нармафзори кушодаасос ва тарафи сеюмро, ки аз рӯи шиддати CVE баҳогузорӣ шудаанд, дар бар мегирад. AI-BOM дороиҳои мушаххаси AI (моделҳо, агентҳо, серверҳои MCP, маҷмӯи додаҳо)-ро бо баҳодиҳии хатари мушаххаси AI ва харитасозии танзимкунанда каталоггузорӣ мекунад. Вақте ки AI дар саросари ҷаҳон паҳн мешавад SDLC, AI-BOM мисли SBOM.
Сояи зеҳнӣ чист ва чӣ гуна онро кашф кардан мумкин аст?
Сояи зеҳнӣ ҳама гуна зеҳни сунъӣ аст, ки бидуни тасдиқи расмӣ ё идоракунӣ қабул карда шудааст: як пилоти ҳамкори фаъол, сервери маҳаллии MCP, модели аз маркази ҷамъиятӣ гирифташуда. Шумо онро бо инвентаризатсияи автоматии пайваста, ки ба код мерасад, пайдо мекунед, сохтан pipelineва нуқтаҳои ниҳоии таҳиягар, на танҳо абрҳои истеҳсолӣ, ки дар он аксари сояҳои зеҳни сунъӣ ҳеҷ гоҳ пайдо намешаванд.
Оё Қонуни ИА оид ба зеҳни сунъӣ (AI) феҳристи зеҳни сунъиро талаб мекунад?
Қонуни ИА дар бораи зеҳни сунъӣ (AI) ба таври возеҳ "инвентаризатсияи зеҳни сунъӣ"-ро номбар намекунад, аммо иҷрои вазифаҳои ҳуҷҷатгузорӣ, тасниф ва бақайдгирии он барои системаҳои дорои хавфи баланд бе он ғайриимкон аст. Ҳамин чиз ба RMF-и зеҳни сунъии NIST (функсияи Map, Govern 1.6) ва ISO/IEC 42001 низ дахл дорад, ки нигоҳдории инвентаризатсияи системаҳои зеҳни сунъиро талаб мекунад.
AI-SPM чист?
Идоракунии ҳолати амнияти зеҳни сунъӣ (AI-SPM) амалияи кашфи пайвастаи дороиҳои зеҳни сунъӣ, баҳодиҳии хатари онҳо дар масири ҳамлаи зеҳни сунъӣ, харитасозии онҳо барои танзим ва таҳияи AI-BOM мебошад. Он тафаккури идоракунии ҳолатро (ки аз CSPM ва DSPM маълум аст) то дороиҳо ва векторҳои ҳамлаи мушаххаси зеҳни сунъӣ васеъ мекунад.
Инвентаризатсияи зеҳни сунъӣ бояд чанд вақт навсозӣ карда шавад?
Доираи зеҳни сунъӣ ҳар рӯз тағйир меёбад, зеро дастаҳо моделҳои навро қабул мекунанд, агентҳои навро ҷойгир мекунанд ва серверҳои нави MCP-ро танзим мекунанд, одатан бе тасдиқи расмӣ. Сканкунии яквақта дар давоми чанд рӯз кӯҳна мешавад, аз ин рӯ, нармафзори муассири инвентаризатсияи зеҳни сунъӣ ҳамчун раванди доимӣ ба ҷои аудити якдафъаина кор мекунад.
Чӣ тавр ман зеҳни сунъии истифодашударо дар рамзи сарчашма инвентаризатсия кунам?
Инвентаризатсияи зеҳни сунъӣ дар рамз маънои муайян кардани моделҳо ва китобхонаҳои зеҳни сунъиро дорад, ки ҳамчун вобастагӣ ҷалб карда шудаанд, ёварони рамзгузории зеҳни сунъӣ, ки барои ҳар як таҳиягар танзим карда шудаанд ва серверҳои MCP ё файлҳои қоидаҳо дар маҳал кор мекунанд. Ин кашфиётеро талаб мекунад, ки дар дохили он кор мекунад SDLC (анборҳо, сохтан pipelines ва нуқтаҳои ниҳоии таҳиягар) на танҳо дар консолҳои абрӣ.
