Birçok hükümet siber kurumu, yapay zeka tedarik zincirini güçlendirmek amacıyla yapay zekaya yönelik yazılım malzeme listelerinin (SBOM'lar) minimum öğelerini tanımlayan yeni bir kaynağa sahip.
Amaç, kamu ve özel sektör paydaşlarının yapay zeka (AI) sistemlerinde ve tedarik zincirlerinde şeffaflığı artırmalarına yardımcı olmaktır.
Yapay Zeka için Yazılım Malzeme Listesi (SBOM) - Minimum Öğeler başlıklı makale 12 Mayıs'ta yayınlandı ve G7 Siber Güvenlik Çalışma Grubu tarafından yazıldı.
Çalışma grubu tarafından Haziran 2025'te yayınlanan AI için SBOM'ların ortak vizyonuna dayanmaktadır.
Uzmanların Görüşleri
Belgede yapay zeka için SBOM'lara yaklaşımın özü, bu kümeler içindeki yapay zeka sistemlerinin hem üreticileri hem de kullanıcıları tarafından kullanılabilecek yedi potansiyel öğe "kümesi"dir.
Gelecekte Ne Bekleniyor?
Yapay Zeka Kümeleri için Yedi SBOM
Yapay Zeka Kümeleri için yedi SBOM aşağıdaki gibidir:
Nasıl Önlem Alınmalı?
Meta veriler: Meta veri kümesi, tek tek bileşenler veya alt öğeler için değil, yapay zeka için SBOM'un kendisi ile ilgili bilgileri temsil etmek için kullanılır
Sistem Düzeyi Özellikleri (SLP): SLP kümesi, bir bütün olarak AI sistemindeki bilgilere atıfta bulunan öğeleri içerir. Bu küme aynı zamanda yapay zeka sisteminde kullanılan tüm yazılım bağımlılıklarını ve çerçevelerinin yanı sıra yapay zeka sistemi bileşenlerinin nasıl etkileşime girdiğine ve kullanıcı verilerini nasıl işlediğine ilişkin bilgileri de içerir.
Modeller: Modeller kümesi, yapay zeka sistemi tarafından kullanılan modelleri tanımlamak için temel bilgileri içerir, her model için ağırlıkların nasıl üretildiğini açıklar ve özelliklerini ve sınırlamalarını ana hatlarıyla belirtir.
Veri Kümesi Özellikleri (DP): DP kümesi, verilerin kimliğini ve kaynağını belgeleyen temel bilgiler de dahil olmak üzere, modelin tüm yaşam döngüsü boyunca kullanılan veri kümeleri hakkında bilgi sağlar.
Temel Performans Göstergeleri (KPI): KPI kümesi, yaşam döngüsü aşamalarına odaklanarak yapay zeka sisteminin KPI'ları ve bileşenleri (sisteme entegre yapay zeka modelleri dahil) hakkındaki bilgilere atıfta bulunan öğeleri içerir.
Altyapı: Altyapı kümesi, yapay zeka sisteminin düzgün çalışması ve desteklenmesi için kritik olan fiziksel ve sanal altyapıyı içerir. Varsa, özel yapay zeka donanımlarını da kapsayan Donanım Malzeme Listesine (HBOM) bir bağlantı da içerir
Detaylar ve Etkileri
Güvenlik Özellikleri (SP): SP kümesi, yapay zeka modelleri ve sistemleri için geçerli olan siber güvenlik önlemlerine odaklanır
Makalede, yapay zekanın kendisi için SBOM hakkında bilgi içeren Meta Veri kümesi dışında tüm kümelerin eşit derecede önemli olduğu belirtildi.
Sistem Güvenliği
SBOM'lar Tek Başına Yeterli Değil
Daha da önemlisi belgede bu kümelerin zorunlu olmadığı ve daha da geliştirilmeye açık olduğu belirtiliyor.
Sonuç ve Değerlendirme
Ağustos 2021 ile Temmuz 2025 arasında CISA'nın SBOM çalışmalarına liderlik eden Allan Friedman, yedi kümeden bazılarını "çok beğendiğini" söyledi. Bununla birlikte, kümelenmelerin çoğunun "ölçülmesinin zor, hatta belirli, organizasyonlar arası bir tarzda tanımlanmasının zor" olduğu yorumunu yaptı.
Devamını oku: ABD ve 14 Müttefik Yazılım Malzeme Listesine İlişkin Ortak Kılavuz Yayımladı
Teknik Analiz
Belgede ayrıca yapay zekaya yönelik bir SBOM'un tedarik zinciri boyunca siber güvenliği artırmak için tek başına "yeterli olmadığı" belirtiliyor.
Yazarlar, yapay zeka tedarik zincirinin önemli ölçüde korunmasını sağlamak amacıyla, yapay zeka için SBOM'un, güvenlik açığı tarama ve yönetim araçları, güvenlik önerileri ve bültenler gibi siber güvenlik araçlarına bağlanması ve uyarlanabilir ve evrimsel araç mekanizmalarının geliştirilmesini teşvik etmesi gerektiğini savunuyor.
Önemli Gelişmeler
Makalede "Sonunda yapay zeka için bir SBOM, doğru siber güvenlik araçlarıyla birlikte uygulandığında yapay zeka tedarik zincirinin güvenliğinin güçlendirilmesine yardımcı olacak" ifadesine yer veriliyor.
Kılavuz, Almanya Federal Bilgi Güvenliği Dairesi (BSI), İtalya Ulusal Siber Güvenlik Ajansı (ACN), Fransa Ulusal Siber Güvenlik Ajansı (ANSSI), Kanada İletişim Güvenliği Kuruluşu (CSE), ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) ve Japonya Ulusal Siber Güvenlik Ofisi (NCO) tarafından AB Komisyonu ile işbirliği içinde ortaklaşa yayınlandı.