2026 年 5 月 12 日，美国网络安全和基础设施安全局（CISA）与合作伙伴发布联合指南，阐述 AI 系统软件物料清单（SBOM）的最低要素。合作伙伴来自德国、加拿大、法国、意大利、日本、英国和欧盟。[1]SBOM 是一款软件所含组件的清单。CISA 把它比作配料表。[1]

这份指南由七国集团（G7）网络安全工作组编写。指南把各项要素分为七组：SBOM 自身的元数据、系统级属性、模型、数据集、基础设施、安全属性和关键绩效指标。[2]

对于每个模型，面向 AI 的 SBOM 应记录权重或模型文件的哈希值（根据文件内容算出的指纹）以及所用的哈希算法。有了这两项，就可以验证该组件的完整性。如果 SBOM 作者无法获取模型制品，该值应标为“未知”。[2]每个数据集都有各自的哈希值和一个溯源要素，后者描述数据集的来源、收集方法和处理步骤。元数据组包含一个可归属于 SBOM 作者的数字签名。[2]

CISA 表示，这些要素并非详尽无遗，也不具强制性；它们反映的是 G7 专家的共识，并将随时间扩充。CISA 还表示，由于 AI 系统属于软件系统，这些要素应与通用 SBOM 最低要素一并考虑。[1]7 月 29 日，CISA 与合作伙伴更新了这些通用要素，取代美国国家电信和信息管理局（NTIA）2021 年发布的清单。它们还指出，AI 软件可能需要额外的要素。[3]

来源

  1. CISA & G7 Partners Release Joint Guidance on the Minimum Elements of a Software Bill of Materials for Artificial IntelligenceCybersecurity and Infrastructure Security Agency · 2026年5月12日
  2. Software Bill of Materials for AI: Minimum ElementsG7 Cybersecurity Working Group, via BSI · 2026年5月12日
  3. 2026 Minimum Elements for a Software Bill of Materials (SBOM)Cybersecurity and Infrastructure Security Agency · 2026年7月29日

核查或更正本页

更正
提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
验证记录

下方摘要可以说明你读到的文字是否与公开的源文件一致，但不能说明报道内容本身正确。这一摘要在构建时根据本页的 Markdown 源文件计算，并列入站点清单。

55d970b3de6af16ebfd4524a696e0fa224bae5e1da17755b1f832b72396f651a

查看源文件 · 清单