Webinar en inglésWebinar con Jason Lee, mié, 14 octYour newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscríbete

Encuentra toda la IA de tu código.

Cada modelo, agente, servidor MCP y guardrail de tu código, catalogado en un solo análisis.

Probar el cloudReservar una demo
checkout-apiAI-BOMProyecto de demostración
  • Shadowmcp://prod-postgresinfra/mcp.ts:42

    Una herramienta de agente conectada a la base de producción, sin alcance declarado.

    url: "mcp://prod-postgres",

    Incluida en el inventario y en el informe del Anexo IV, con su archivo y su línea.

Cada componente de IA, con su archivo.

  • Modelos

    • openai/gpt-4o-mini
    • meta-llama/Llama-3.1-8B
    • models/local.gguf

  • Agentes

    • LangChain AgentExecutor
    • CrewAI Crew

  • Servidores MCP

    • mcp://prod-postgres
    • mcp://github

  • Guardrails

    • Llama Guard 3
    • Guardrails AI

Un modelo declarado. El análisis encuentra el resto.

Lo que el equipo declaró

  • Declarado: openai/gpt-4o-minisrc/lib/chat.ts:23

Lo que encontró el análisis

  • Shadow: mcp://prod-postgresinfra/mcp.ts:42
  • Shadow: meta-llama/Llama-3.1-8Bmodels/local.gguf
  • Deriva: extract-piilib/pii.ts:17
  • Ausente: Sin guardrailapps/legacy-agent/
  • Gobernado: openai/gpt-4o-minisrc/lib/chat.ts:23

Ejecútalo donde despliegas.

Cada análisis publica el inventario y un informe del Anexo IV, con una exportación CycloneDX.

  1. Tu pipelineUn push, o una ejecución de tu CI.Lanzado
  2. Escaneo AI-BOMModelos, datos, prompts, agentes, servidores MCP y guardrails.Escaneado
  3. InventarioCada elemento con su archivo y su línea.Señalado
  4. InformeAnexo IV de la Ley de IA de la UE, NIST AI RMF, CycloneDX.Publicado

Empieza por un repositorio.

Conecta GitHub, GitLab, Bitbucket o Azure DevOps, elige un repositorio y el primer escaneo arranca.

Probar el cloudReservar una demo

En detalle

Cada componente de IA del repositorio.

  • Modelos

    Nombres de modelos de OpenAI, Anthropic y Google, IDs de HuggingFace, pesos locales GGUF y ONNX.

  • Datasets

    Corpus de entrenamiento, fine-tuning, evaluación y RAG, referenciados en el código o la config.

  • Prompts

    Plantillas de sistema y de usuario versionadas, publicadas en el repositorio.

  • Agentes

    LangChain, LlamaIndex, CrewAI, Semantic Kernel, AutoGen y bucles ReAct propios.

  • Servidores MCP

    Las herramientas a las que llaman tus agentes.

  • Guardrails

    Llama Guard, NeMo, Guardrails AI, o ninguno.

Ejecútalo donde despliegas.

Cada escaneo publica el inventario y un informe del Anexo IV de la Ley de IA de la UE, vinculado al Reglamento (UE) 2024/1689, con etiquetas del NIST AI RMF y una exportación CycloneDX.

.github/workflows/ai-bom.yml

- name: CybeDefend Security Scan
  uses: CybeDefend/cybedefend-action@v2
  with:
    pat: ${{ secrets.CYBEDEFEND_PAT }}
    project_id: ${{ secrets.CYBEDEFEND_PROJECT_ID }}
    branch: ${{ github.ref_name }}
    break_on_severity: high
Todo lo que revisa

No puedes gobernar la IA que no ves. La shadow AI ya está en tus repos.

Tres razones para empezar la gobernanza por el AI-BOM, y no dejarlo para el final.

  • Primero, descubrir

    Cada modelo, dataset, prompt, agente, servidor MCP y guardrail sale a la luz de forma automática.

  • Anexo IV del EU AI Act, integrado

    Cada sección del Anexo IV tiene su propia regla de emisión. La documentación del Artículo 11 deja de ser un proyecto trimestral y pasa a ser un artefacto de CI.

  • Alineado con NIST AI RMF

    Cada componente se etiqueta según las funciones Govern / Map / Measure / Manage.

Evidencia del Anexo IV del EU AI Act. Un escaneo para tenerla lista.

Cada escaneo genera un informe de cumplimiento completo, alineado con el Reglamento (UE) 2024/1689. Pásaselo a legal o a tu auditor, o adjúntalo al cuestionario de seguridad de tu cliente.

Evidencia del Anexo IV + mapeo NIST AI RMF incluidos en cada escaneo.

  • EU AI Act · Informe de cumplimiento

    Un informe por escaneo, alineado con el Reglamento (UE) 2024/1689, listo para legal y para tu auditor.

  • Por categoría de riesgo (Art. 5/6/50)

    Prohibido, Alto, Limitado, Mínimo.

Intégralo en tu pipeline

Añade la cybedefend-action a tu workflow de GitHub, o llama a la CybeDefend CLI desde cualquier otro pipeline.

Lo que AI-BOM detecta, y lo que no.

¿Qué detecta exactamente AI-BOM?
Modelos referenciados por nombre (IDs de HuggingFace, cadenas de modelo de OpenAI / Anthropic / Google, pesos locales .gguf / .onnx), datasets referenciados en el código o la configuración, prompts versionados incluidos en el repo, URLs de servidores MCP que consumen tus agentes, grafos de LangChain y LlamaIndex, frameworks de orquestación de agentes (Semantic Kernel, AutoGen, CrewAI, ReAct propio) y las librerías de guardrails en uso (Llama Guard, NeMo, Guardrails AI). Cada elemento entra en el inventario con su ubicación en el código, su versión fijada y una clasificación heurística.
¿Exige el EU AI Act un AI-BOM?
El Artículo 11 y el Anexo IV del EU AI Act exigen un paquete de documentación técnica para los sistemas de IA de alto riesgo antes de que entren en el mercado de la UE. Ese paquete enumera los modelos, las fuentes de datos de entrenamiento, el uso previsto, las métricas de rendimiento y las medidas de gestión de riesgos. AI-BOM genera esa evidencia en formato legible por máquina, de modo que documentar deja de ser un proyecto trimestral y se convierte en una exportación.
¿Cómo se integra en CI/CD?
Añade la cybedefend-action a tu workflow de GitHub o llama a la CybeDefend CLI desde cualquier otro pipeline (GitLab CI, Jenkinsfile, Tekton). El escaneo se ejecuta en cada push, el informe se publica como artefacto de build y el gate devuelve un código distinto de cero cuando entra un componente nuevo prohibido o de alto riesgo sin documentación de gobernanza.
¿Cuál es la diferencia entre AI-BOM y SBOM?
El SBOM lista los componentes de software y sus CVE. El AI-BOM lista los componentes de IA y sus facetas de gobernanza propias: origen de los datos de entrenamiento, linaje del fine-tuning, versiones de los prompts, alcance de las capacidades del agente, cobertura de guardrails y riesgo residual. Son complementarios: CybeDefend genera ambos, y el AI-BOM también se exporta en CycloneDX para encajar en tus herramientas de SBOM actuales.
¿AI-BOM se entrena con nuestro código?
No. Tu código nunca se usa para entrenar un modelo. En un escaneo estándar, el repositorio se lee en un contenedor que se destruye al terminar el escaneo, y el inventario conserva lo que encontró: nombres de componentes, versiones, ubicaciones y categorías de riesgo.