Live-Webinar auf EnglischWebinar mit Jason Lee, Mi., 14. Okt.Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkAnmelden

Finden Sie jede KI in Ihrem Code.

Jedes Modell, jeder Agent, MCP-Server und Guardrail in Ihrem Code, in einem Scan katalogisiert.

Cloud testenDemo buchen
checkout-apiAI-BOMDemo-Projekt
  • Shadowmcp://prod-postgresinfra/mcp.ts:42

    Ein Agenten-Werkzeug auf der Produktionsdatenbank, ohne deklarierten Geltungsbereich.

    url: "mcp://prod-postgres",

    Im Inventar und im Annex-IV-Bericht aufgeführt, mit Datei und Zeile.

Jede KI-Komponente, mit ihrer Datei.

  • Modelle

    • openai/gpt-4o-mini
    • meta-llama/Llama-3.1-8B
    • models/local.gguf

  • Agenten

    • LangChain AgentExecutor
    • CrewAI Crew

  • MCP-Server

    • mcp://prod-postgres
    • mcp://github

  • Guardrails

    • Llama Guard 3
    • Guardrails AI

Ein Modell deklariert. Der Scan findet den Rest.

Was das Team deklariert hat

  • Deklariert: openai/gpt-4o-minisrc/lib/chat.ts:23

Was der Scan gefunden hat

  • Shadow: mcp://prod-postgresinfra/mcp.ts:42
  • Shadow: meta-llama/Llama-3.1-8Bmodels/local.gguf
  • Abweichend: extract-piilib/pii.ts:17
  • Fehlt: Keine Guardrailapps/legacy-agent/
  • Freigegeben: openai/gpt-4o-minisrc/lib/chat.ts:23

Dort, wo Sie ausliefern.

Jeder Scan veröffentlicht das Inventar und einen Bericht nach Anhang IV, mit einem CycloneDX-Export.

  1. Ihre PipelineEin Push oder ein Lauf Ihrer CI.Ausgelöst
  2. AI-BOM-ScanModelle, Daten, Prompts, Agenten, MCP-Server und Guardrails.Gescannt
  3. InventarJedes Element mit Datei und Zeile.Markiert
  4. BerichtAnhang IV des EU AI Act, NIST AI RMF, CycloneDX.Veröffentlicht

Beginnen Sie mit einem Repository.

Verbinden Sie GitHub, GitLab, Bitbucket oder Azure DevOps, wählen Sie ein Repository, und der erste Scan startet.

Cloud testenDemo buchen

Im Detail

Jede KI-Komponente im Repository.

  • Modelle

    Modellnamen von OpenAI, Anthropic und Google, HuggingFace-IDs, lokale GGUF- und ONNX-Gewichte.

  • Datensätze

    Korpora für Training, Fine-Tuning, Evaluierung und RAG, in Code oder Konfiguration referenziert.

  • Prompts

    Versionierte System- und Nutzer-Templates, die im Repository ausgeliefert werden.

  • Agenten

    LangChain, LlamaIndex, CrewAI, Semantic Kernel, AutoGen und eigene ReAct-Schleifen.

  • MCP-Server

    Die Werkzeuge, die Ihre Agenten aufrufen.

  • Guardrails

    Llama Guard, NeMo, Guardrails AI, oder gar keine.

Dort, wo Sie ausliefern.

Jeder Scan veröffentlicht das Inventar und einen Bericht nach Anhang IV des EU AI Act, zugeordnet zur Verordnung (EU) 2024/1689, mit NIST-AI-RMF-Tags und einem CycloneDX-Export.

.github/workflows/ai-bom.yml

- name: CybeDefend Security Scan
  uses: CybeDefend/cybedefend-action@v2
  with:
    pat: ${{ secrets.CYBEDEFEND_PAT }}
    project_id: ${{ secrets.CYBEDEFEND_PROJECT_ID }}
    branch: ${{ github.ref_name }}
    break_on_severity: high
Alles, was er prüft

Sie können KI, die Sie nicht sehen, nicht steuern. Shadow AI steckt längst in Ihren Repos.

Drei Gründe, warum AI-BOM am Anfang der Governance steht und nicht erst am Ende.

  • Entdeckung zuerst

    Modelle, Datensätze, Prompts, Agenten, MCP-Server und Guardrails werden automatisch erfasst.

  • Nativ für Anhang IV des EU AI Act

    Jeder Abschnitt von Anhang IV hat eine eigene Ausgaberegel. Die Dokumentation nach Artikel 11 wird vom Quartalsprojekt zum CI-Artefakt.

  • Am NIST AI RMF ausgerichtet

    Jede Komponente wird den Funktionen Govern / Map / Measure / Manage zugeordnet.

Nachweise nach Anhang IV. Ein Scan genügt.

Jeder Scan erzeugt einen vollständigen Compliance-Bericht, ausgerichtet auf die Verordnung (EU) 2024/1689. Geben Sie ihn an die Rechtsabteilung oder Ihren Auditor, oder nutzen Sie ihn für den Security-Fragebogen Ihres Kunden.

Nachweise nach Anhang IV und Zuordnung zum NIST AI RMF in jedem Scan enthalten.

  • EU AI Act · Compliance-Bericht

    Ein Bericht pro Scan, ausgerichtet auf die Verordnung (EU) 2024/1689, bereit für Rechtsabteilung und Auditor.

  • Nach Risikokategorie (Art. 5/6/50)

    Verboten, Hoch, Begrenzt, Minimal.

In Ihre Pipeline einbauen

Fügen Sie die cybedefend-action zu Ihrem GitHub-Workflow hinzu oder rufen Sie die CybeDefend CLI aus jeder anderen Pipeline auf.

Was AI-BOM erfasst, und was nicht.

Was genau erkennt AI-BOM?
Namentlich referenzierte Modelle (HuggingFace-IDs, Modell-Strings von OpenAI, Anthropic oder Google, lokale .gguf-/.onnx-Gewichte), in Code oder Config referenzierte Datensätze, versionierte Prompts im Repository, MCP-Server-URLs, die Ihre Agenten ansprechen, LangChain- und LlamaIndex-Graphen, Agent-Orchestrierungs-Frameworks (Semantic Kernel, AutoGen, CrewAI, eigene ReAct-Implementierungen) sowie eingesetzte Guardrail-Bibliotheken (Llama Guard, NeMo, Guardrails AI). Jedes Element landet im Inventar mit Quellort, fixierter Version und einer heuristischen Klassifikation.
Schreibt der EU AI Act ein AI-BOM vor?
Artikel 11 und Anhang IV des EU AI Act verlangen für Hochrisiko-KI-Systeme eine technische Dokumentation, bevor diese auf den EU-Markt kommen. Diese Dokumentation listet Modelle, Trainingsdatenquellen, Zweckbestimmung, Leistungsmetriken und Maßnahmen zum Risikomanagement auf. AI-BOM erzeugt diese Belege maschinenlesbar, sodass der Dokumentationsschritt zum Export wird statt zum Quartalsprojekt.
Wie wird es in CI/CD integriert?
Fügen Sie die cybedefend-action zu Ihrem GitHub-Workflow hinzu oder rufen Sie die CybeDefend CLI aus jeder anderen Pipeline (GitLab CI, Jenkinsfile, Tekton) auf. Der Scan läuft bei jedem Push, der Bericht wird als Build-Artefakt veröffentlicht, und das Gate bricht ab, wenn eine neue verbotene oder hochriskante Komponente ohne Governance-Dokumentation landet.
Was ist der Unterschied zwischen AI-BOM und SBOM?
Ein SBOM listet Software-Komponenten und CVEs auf. Ein AI-BOM listet KI-Komponenten und ihre KI-spezifischen Governance-Aspekte: Herkunft der Trainingsdaten, Herkunft des Fine-Tunings, Prompt-Versionen, Handlungsspielraum der Agenten, Guardrail-Abdeckung, Restrisiko. Beide ergänzen sich; CybeDefend erzeugt beide, und das AI-BOM lässt sich zusätzlich als CycloneDX exportieren, sodass es sich nahtlos in Ihr bestehendes SBOM-Tooling einfügt.
Trainiert AI-BOM mit unserem Code?
Nein. Ihr Code wird nie zum Trainieren eines Modells verwendet. Bei einem Standard-Scan wird das Repository in einem Container gelesen, der nach dem Scan gelöscht wird, und das Inventar behält, was es gefunden hat: Komponentennamen, Versionen, Fundstellen und Risikokategorien.