AI-BOM
Makine öğrenmesi modelleri için bir SBOM: içinde gerçekte hangi ağırlıkların, veri kümelerinin ve lisansların bulunduğu.
Sıradan bir SBOM kütüphaneleri ve sürümleri listeler, ama bir model koddan fazlasıdır. İnce ayarın yapıldığı temel model, eğitim verisi, ağırlıkların lisansı ve üstüne eklenen veri kümeleri güvenlik ve hukuki risk açısından en az kod kadar önemlidir. AI-BOM, diğer adıyla ML-BOM, bu soyağacını makine tarafından okunabilir biçimde tanımlar. CycloneDX 2023’te 1.5 sürümüyle ML-BOM desteği ekledi; SPDX 3.0 ise 2024’te yapay zekâ ve veri kümesi için özel profillerle geldi.
Bunun bir nedeni mevzuat: AB Yapay Zekâ Yasası, genel amaçlı model sağlayıcılarından eğitim verilerini belgelemesini ister. Diğer nedeni, Llama lisansı ve OpenRAIL gibi model lisanslarının kullanım kısıtlarının aşağı akışa taşınması. Kaputun altındaki modeli bilmiyorsanız, neyi kabul ettiğinizi de bilmiyorsunuz demektir.