Kraje G7 publikują wytyczne dla SBOM w AI. Co to oznacza dla firm?

Agencje rządowe państw Grupy Siedmiu (G7) opublikowały wspólne wytyczne dotyczące tworzenia Software Bill of Materials (SBOM) dla systemów sztucznej inteligencji. Dokument, zatytułowany „Software Bill of Materials for AI – Minimum Elements”, ma pomóc organizacjom publicznym i prywatnym zwiększyć przejrzystość w zakresie systemów AI oraz ich łańcuchów dostaw. Dla polskich firm, które wdrażają lub planują wdrożenie rozwiązań opartych na sztucznej inteligencji, to sygnał, że kwestie bezpieczeństwa i identyfikowalności komponentów stają się priorytetem.

Czym jest SBOM i dlaczego teraz także dla AI?

SBOM to szczegółowy, maszynowo odczytywalny manifest, który kataloguje każdy komponent, bibliotekę, zależność i moduł wchodzący w skład produktu programistycznego. Dotychczas SBOM-y stosowano głównie w tradycyjnym oprogramowaniu, aby zapewnić pełną transparentność jego składu. Nowe wytyczne G7 rozszerzają tę koncepcję na systemy AI, co ma kluczowe znaczenie w kontekście rosnącej liczby ataków na łańcuch dostaw.

Jak zauważył Nigel Douglas, szef relacji z programistami w firmie Cloudsmith, „tradycyjne SBOM-y były projektowane dla łańcuchów dostaw o stosunkowo możliwych do prześledzenia krawędziach, ale rozwój wspomagany przez AI powoduje powstawanie kodu, przepływów pracy i zależności, które mogą trafiać do produkcji bez przechodzenia przez ustalone procesy inwentaryzacji i zapewniania jakości”. To sprawia, że nowe wytyczne są szczególnie istotne dla firm, które chcą uniknąć sytuacji, w której niekontrolowane komponenty AI stają się wektorem ataku.

Siedem kluczowych obszarów SBOM dla AI

Dokument G7 określa siedem głównych klastrów, które powinny znaleźć się w SBOM dla AI: metadane, modele, kluczowe wskaźniki wydajności (KPI), infrastruktura, właściwości bezpieczeństwa (SP), właściwości na poziomie systemu (SLP) oraz właściwości zbiorów danych (DP). Każdy z tych obszarów wymaga szczegółowego opisu – od autora i wersji SBOM, przez informacje o modelach i zbiorach danych, aż po dane o infrastrukturze sprzętowej i programowej.

Autorzy wytycznych podkreślają jednak, że „te minimalne elementy nie są obowiązkowe; nie tworzą wymogów, standardów ani przepisów i są otwarte na dalsze udoskonalenia, aby nadążać za rozwojem technologicznym oraz ewolucją ram prawnych i politycznych w państwach G7”. Dla polskich przedsiębiorców oznacza to, że już teraz warto zapoznać się z rekomendacjami i wdrożyć je jako dobrowolny standard, zanim staną się częścią wiążących regulacji, takich jak unijny akt w sprawie AI (AI Act).

Wyzwania i ograniczenia nowych wytycznych

Mimo że inicjatywa G7 jest krokiem w dobrym kierunku, eksperci zwracają uwagę na praktyczne trudności. Nigel Douglas wskazuje, że „ramy G7 stawiają właściwe wymagania, ale organizacje próbujące je wdrożyć przekonają się, że dokumentacja stosowana retrospektywnie nie odtwarza pochodzenia”. Innymi słowy, ręczne uzupełnianie SBOM po fakcie jest nieskuteczne – kluczowe jest automatyczne i ciągłe generowanie manifestu już na etapie tworzenia oprogramowania.

Dodatkowym problemem jest strukturalna natura współczesnego rozwoju oprogramowania. Narzędzia generatywnej AI sprawiają, że programiści coraz częściej tworzą aplikacje lub pobierają zależności poza formalnym procesem przeglądu. Jak podkreśla Douglas, „ataki takie jak s1ngularity już zaczęły bezpośrednio wykorzystywać tę lukę”. Dlatego polskie firmy powinny traktować SBOM nie jako jednorazowy dokument, ale jako element ciągłego procesu monitorowania i zarządzania ryzykiem w łańcuchu dostaw.

Co dalej? Praktyczne rekomendacje

Dla organizacji w Polsce, które rozwijają lub wykorzystują systemy AI, kluczowe jest rozpoczęcie prac nad automatyzacją tworzenia SBOM już teraz. Warto śledzić dalsze prace G7 oraz unijne regulacje, które mogą w przyszłości uczynić SBOM obowiązkowym elementem zgodności z prawem. Równocześnie należy pamiętać, że sam dokument to dopiero początek – najważniejsze jest systematyczne aktualizowanie go i powiązanie z procesami reagowania na podatności.

Wytyczne G7 to ważny krok w kierunku większej transparentności i bezpieczeństwa w obszarze AI. Dla polskich firm to sygnał, że czas przygotować się na nowe standardy, zanim staną się one wymogiem prawnym. Warto zainwestować w narzędzia do automatycznego generowania SBOM i budować świadomość w zespołach deweloperskich, aby uniknąć kosztownych błędów w przyszłości.