Страны G7 хотят сделать ИИ прозрачнее через SBOM и закрыть риски цепочки поставки

Государственные киберагентства стран G7 подготовили новое руководство по SBOM для систем искусственного интеллекта. Документ описывает минимальный набор сведений о составе ИИ-системы, базовых моделях, использованных данных, поддерживающей инфраструктуре и применяемых мерах защиты. Главная цель сводится к снижению рисков в цепочке поставки ИИ с большим количеством непрозрачных компонентов, внешних зависимостей и плохо проверяемых моделей.

Для рынка ИБ это значимый шаг. Искусственный интеллект внедряется в банки, промышленность, госсектор, телеком, медицину, энергетику и разработку ПО. Многие заказчики до сих пор плохо понимают состав используемой ИИ-системы и характер происходящих внутри неё процессов.

Руководство Software Bill of Materials for Artificial Intelligence Minimum Elements было опубликовано 12 мая. Его подготовила рабочая группа G7 по кибербезопасности. Документ развивает общую концепцию SBOM для ИИ от июня 2025 года.

Интересно, что 7 национальных киберагентств одновременно сели за стол и впервые расписали, что должно лежать внутри каждой ИИ-системы для нормального аудита.

В документе G7 предложены 7 кластеров сведений для SBOM в ИИ:

• метаданные с описанием самого SBOM;
• свойства ИИ-системы и её зависимостей;
• сведения о моделях и их характеристиках;
• информация о датасетах разных этапов;
• показатели эффективности и KPI системы;
• описание инфраструктуры и оборудования;
• свойства защиты и меры киберобороны.

Первый кластер связан с метаданными. Он описывает сам SBOM с базовой информацией о документе, его версии, происхождении и времени создания. Второй кластер описывает свойства ИИ-системы в целом с программными зависимостями, фреймворками и взаимодействием компонентов.

Третий кластер посвящён моделям. В нём должны быть базовые сведения для идентификации моделей системы. Также предлагается описывать создание весов модели, её свойства, ограничения и известные слабые стороны.

Четвёртый кластер касается датасетов. Он даёт сведения о данных разных этапов жизненного цикла модели. Авторы предлагают фиксировать происхождение данных, их идентичность и базовые характеристики. Подобный блок остаётся одним из самых чувствительных, поскольку качество и законность данных напрямую влияют на безопасность системы.

Пятый кластер связан с показателями эффективности и описывает KPI ИИ-системы на разных этапах жизненного цикла. Шестой кластер описывает инфраструктуру с физической и виртуальной средой работы ИИ-системы. Седьмой кластер охватывает меры киберзащиты для моделей и ИИ-систем:

• контроль доступа к моделям и интерфейсам;
• защита данных на разных этапах работы;
• журналирование запросов и ответов;
• проверка устойчивости к атакам на модель;
• защита от prompt injection и обхода ограничений;
• управление обновлениями и патчами.

Бывший руководитель направления SBOM в CISA Аллан Фридман, занимавшийся темой с августа 2021 года по июль 2025 года, положительно оценил многие предложенные кластеры. Аллан Фридман отметил сложность измерения или строгого определения части из них для разных организаций.

В документе отдельно говорится об отсутствии у SBOM для ИИ автоматического решения проблемы защиты цепочки поставки. Список компонентов даёт прозрачность, но не защищает систему сам по себе.

Интересно, что SBOM для обычного ПО давно стал стандартом, а для ИИ только сейчас появилась первая внятная попытка описать, что должно быть внутри списка.

SBOM для ИИ должен стать частью живого процесса управления рисками. При появлении проблемы в модели, библиотеке, датасете или инфраструктурном компоненте организация должна быстро понять масштаб затронутых систем.

Руководство совместно опубликовали несколько киберагентств:

• BSI Германии и ACN Италии;
• ANSSI Франции и CSE Канады;
• CISA США и NCSC Великобритании;
• NCO Японии при участии Еврокомиссии;
• профильные рабочие группы стран-участниц.

Подобный состав авторов показывает выход темы цепочки поставки ИИ на уровень государственной политики. Внимание раньше было на безопасности ПО, уязвимых библиотеках и Open Source-компонентах. Сейчас тот же подход переносится на ИИ с более сложной цепочкой поставки.

Ранее сообщалось о начале закладки ИИ в планы цифровой трансформации российских ведомств на 2026–2028 годы. По данным Forbes, часть органов власти рассматривает отечественные решения, часть тестирует китайскую Qwen, а часть присматривается к моделям Meta, признанной в России экстремистской и запрещённой.

При тестировании Qwen, GigaChat, Astra AI, Llama, OPT или других решений ведомству нужно понимать не только качество ответа, но и происхождение модели, условия локального развёртывания, зависимости и источники данных.

Для бизнеса SBOM для ИИ может стать новым пунктом в договорах с поставщиками. Заказчики будут спрашивать не только цену и точность модели, но и целый набор параметров системы:

• полный состав компонентов и зависимостей;
• сведения о данных для обучения;
• инфраструктурные требования к развёртыванию;
• защитные свойства и контроль доступа;
• порядок обновления и реакции на уязвимости.

Поставщикам ИИ-продуктов придётся готовиться к более зрелому рынку. Недостаточно будет сказать о работе модели на современных нейросетях. Нужно объяснить компоненты, источники данных, тестирование, ограничения и место обработки запросов.

Отдельная сложность связана с обновляемостью ИИ-систем. Модель может меняться, датасеты могут дорабатываться, инфраструктура может переезжать. SBOM для ИИ должен быть не одноразовым документом, а обновляемым артефактом по жизненному циклу системы.

Эксперты редакции CISOCLUB отмечают, что новый документ G7 показывает переход безопасности ИИ от общих разговоров к инженерной дисциплине. По мнению редакции, SBOM для ИИ не решит все проблемы, но задаёт правильный вопрос о составе системы, её данных и моделях, местах работы и способах защиты. Для компаний и ведомств это шанс перестать покупать ИИ как магический чёрный ящик и начать управлять им как сложной цепочкой поставки с измеримыми рисками. Подобный подход рано или поздно придёт и в российскую практику, особенно при использовании госданных для обучения национальных моделей.

* Корпорация Meta признана экстремистской организацией и запрещена на территории Российской Федерации.