G7集团确定了“人工智能软件组件清单”（AIBOM）的最低要素共同框架，旨在提高人工智能系统组件及其来源和依赖关系的可追踪性。该框架是软件组件清单（SBOM）概念的延伸，但聚焦于人工智能系统所具有的额外特征，例如模型、数据集、基础设施和评估结果。
根据MONOist发布的文章，德国和意大利两国自2023年以来一直在G7相关工作中探讨“面向人工智能的SBOM”概念。2025年5月12日和13日，加拿大渥太华举行的网络安全工作组会议通过了与这一方向相关的成果。2026年5月12日，在G7各国网络安全机构参与下，发布了题为Software Bill of Materials (SBOM) for Artificial Intelligence - Minimum Elements的框架。
AIBOM为SBOM增加了什么？
该框架并未将AIBOM视为传统软件清单的简单扩展版本。它将系统组件与系统生命周期联系起来，包括学习、测试、验证、训练所使用的数据集以及评估结果。其公开目标是通过改善对供应链和组件之间关系的理解，支持人工智能系统安全。
根据文章，该框架要求遵循三项基本原则：能够通过人工智能系统自身的特征，将其与传统软件系统区分开来；信息应以机器可读并可由工具处理的格式呈现；数据结构应允许纳入不同利益相关者所需的信息，并以可扩展的方式表示组件之间的关系。
七类要素
该框架将最低要素分为七个主要类别，包括系统特征和系统级数据、模型特征、数据集特征、基础设施、安全特征，以及性能评估指标，例如关键绩效指标（KPI）。这种组织方式使系统组件能够与超出软件包名称或版本号的信息建立关联，包括那些实际影响系统行为和风险的要素。
文章还指出，人工智能代理的快速普及提高了记录自主性和意图等要素的重要性。不过，这些要素可能因系统的使用方式而异，因此文件提出还需要进一步研究，而没有将其作为完整且最终确定的要求。
为什么这一消息很重要？
在实际应用中，AIBOM为机构和监管部门提供了一个共同基础，用于了解人工智能系统由哪些内容构成、由谁供应，以及其组件之间如何关联。这一点在调查安全事件，或评估模型、数据集或外部组件变更的影响时十分重要。这一方向也与更广泛的监管和安全应用相一致，其中包括《欧盟人工智能法》、网络安全框架以及欧洲健康数据空间（EHDS）的要求。
不过，该框架本身并不能解决人工智能供应链安全问题。文章提醒称，仅靠AIBOM不足以确保供应商安全，其应用需要与风险管理工具、其他安全实践，以及能够验证信息并跟踪其变化的顾问或机制相结合。此外，互操作性仍将取决于工具和标准的发展，其中包括SPDX项目的相关工作。