Группа G7 определила общую рамочную структуру минимальных элементов «перечня компонентов программного обеспечения искусственного интеллекта» (AIBOM). Этот шаг направлен на то, чтобы сделать компоненты систем искусственного интеллекта, их источники и отношения зависимости между ними более отслеживаемыми. Рамочная структура развивает концепцию перечня компонентов программного обеспечения (SBOM), но сосредоточена на дополнительных характеристиках, отличающих системы искусственного интеллекта, таких как модели, наборы данных, инфраструктура и результаты оценки.
Согласно материалу, опубликованному в MONOist, Германия и Италия с 2023 года рассматривали концепцию «SBOM для искусственного интеллекта» в рамках работы G7. Результаты, связанные с этим направлением, также были одобрены в ходе заседания рабочей группы по кибербезопасности в Оттаве, Канада, 12 и 13 мая 2025 года. 12 мая 2026 года при участии органов кибербезопасности стран G7 была опубликована рамочная структура под названием Software Bill of Materials (SBOM) for Artificial Intelligence - Minimum Elements.
Что AIBOM добавляет к SBOM?
Рамочная структура не рассматривает AIBOM как простую расширенную версию традиционного перечня программного обеспечения. Она связывает компоненты системы с её жизненным циклом, включая обучение, тестирование, верификацию, наборы данных, использованные для обучения, и результаты оценки. Заявленная цель — поддержать безопасность систем искусственного интеллекта за счёт улучшения понимания цепочки поставок и связей между компонентами.
Согласно материалу, рамочная структура устанавливает три основных принципа: должна существовать возможность отличить систему искусственного интеллекта от традиционных программных систем по её специфическим характеристикам; информация должна представляться в формате, пригодном для машинного чтения и обработки инструментами; структура данных должна позволять включать требуемую информацию от различных заинтересованных сторон, а также представлять связи между компонентами масштабируемым образом.
Семь групп элементов
Рамочная структура организует минимальный набор элементов в семь основных групп, включая характеристики системы и данные на уровне системы, характеристики модели, характеристики наборов данных, инфраструктуру, характеристики безопасности и показатели оценки производительности, такие как ключевые показатели эффективности (KPI). Такая организация позволяет связывать компоненты системы с информацией, выходящей за рамки названия программного пакета или номера его версии, включая элементы, которые фактически влияют на поведение системы и связанные с ней риски.
В материале также отмечается, что быстрое распространение агентов искусственного интеллекта повышает важность документирования таких элементов, как автономность и намерение. Однако эти элементы могут различаться в зависимости от способа использования системы, поэтому была отмечена необходимость дальнейшего изучения, а не представления их в качестве завершённых и окончательных требований.
Почему эта новость важна?
На практике AIBOM предоставляет организациям и регулирующим органам общую основу для понимания того, что входит в состав системы искусственного интеллекта, кто это поставляет и как её компоненты связаны друг с другом. Это важно при расследовании инцидента безопасности или оценке последствий изменения модели, набора данных или внешнего компонента. Это направление также согласуется с более широкими регуляторными инициативами и инициативами в сфере безопасности, включая Европейский закон об искусственном интеллекте, рамочные структуры кибербезопасности и требования Европейского пространства медицинских данных (EHDS).
Однако рамочная структура сама по себе не решает проблему безопасности цепочки поставок искусственного интеллекта. В материале подчёркивается, что одного AIBOM недостаточно для гарантии безопасности поставщиков, а его применение требует интеграции с инструментами управления рисками, другими практиками безопасности, а также консультантами или механизмами, способными проверять информацию и отслеживать её изменения. Кроме того, совместимость по-прежнему будет зависеть от развития инструментов и стандартов, включая работу над проектом SPDX.