software supply chain
PulseAugur coverage of software supply chain — every cluster mentioning software supply chain across labs, papers, and developer communities, ranked by signal.
3 天有情绪数据
-
攻击者可轻松将后门注入AI模型，威胁软件供应链安全
安全专家展示了一种攻击者可以轻松插入隐藏后门到AI模型中的方法。这种漏洞对软件供应链构成了重大风险，可能危及AI系统的完整性和安全性。
-
行业滥用“CBOM”一词，将透明度负担转嫁给买家
ISARA Corporation首席执行官Atsushi Yamada表示，行业内“加密物料清单”（CBOM）一词被滥用。Yamada认为，真正的物料清单是制造商对其产品内含物的声明，类似于软件物料清单（SBOM）。目前许多提供“CBOM”的平台实际上提供的是第三方扫描仪生成的加密清单，这些清单只能识别可观察到的组件，而无法完全披露内部加密元素。这种错误标记允许供应商逃避披露其产品加密构成，将透明度负担转嫁给买家的工具。
-
新的 CBOM 规范旨在为 LLM 提示带来类似 SBOM 的可追溯性
作者提出了上下文物料清单 (CBOM)，这是一个开放规范和 SDK，旨在解决输入到大型语言模型的数据缺乏可审计溯源性问题。类似于用于软件供应链安全的软件物料清单 (SBOM)，CBOM 为每个提示提供一个清单，详细说明检索数据的来源、内容哈希、转换和敏感性。这旨在提高透明度，帮助调试提示注入等问题，并满足欧盟人工智能法案的记录保存义务等监管要求。
-
新框架为代理式AI系统自动化咨询
研究人员开发了一个用于自动化代理式AI系统咨询的框架，重点关注确定性环境捕获和运行时遥测。这个AIBOM驱动的CSAF-VEX系统根据声明的工件、观察到的条件和强制执行的策略计算可利用性。该框架从静态和运行时证据生成加密签名的咨询，并通过确定性回放进行验证，并在具有数千个组件的合成AI工作负载上进行了评估。
-
人工智能物料清单（AIBOMs）有望成为产品采购要求
人工智能物料清单（AIBOMs）的概念正在获得关注，作为确保人工智能产品透明度和问责制的一种方式。预计这些AIBOMs将成为产品采购的要求，类似于目前使用的软件物料清单（SBOMs）。建议首席信息安全官（CISOs）为这种新兴的代理AI标准做好准备。
-
G7国家发布AI软件供应链指南
G7国家发布了关于AI软件供应链描述的指南，即SBOM。该举措旨在提高分发AI软件的公司的透明度和安全性。
-
在影子AI的担忧下，公司采用AI-BOMs来追踪模型、数据集和代理
软件物料清单（SBOM）的概念正在演变，以应对企业中AI集成的复杂性，从而催生了AI物料清单（AI-BOMs）。这些AI-BOMs旨在提供对AI资产的全面可见性，包括模型、数据集、框架和代理，以及它们在组织工作流程中的交互。思科已开源其AI-BOM工具和模型溯源套件，该套件就像AI模型的“DNA测试”，用于追踪其来源并确保已部署AI系统的完整性。