Webinar en anglaisWebinar avec Jason Lee, mer. 14 oct.Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkS'inscrire

Trouvez chaque IA dans votre code.

Chaque modèle, agent, serveur MCP et garde-fou de votre code, catalogué en une seule analyse.

Essayer le cloudRéserver une démo
checkout-apiAI-BOMProjet de démonstration
  • Non déclarémcp://prod-postgresinfra/mcp.ts:42

    Un outil d'agent branché sur la base de production, sans périmètre déclaré.

    url: "mcp://prod-postgres",

    Inscrit dans l'inventaire et dans le rapport Annexe IV, avec son fichier et sa ligne.

Chaque composant d'IA, avec son fichier.

  • Modèles

    • openai/gpt-4o-mini
    • meta-llama/Llama-3.1-8B
    • models/local.gguf

  • Agents

    • LangChain AgentExecutor
    • CrewAI Crew

  • Serveurs MCP

    • mcp://prod-postgres
    • mcp://github

  • Garde-fous

    • Llama Guard 3
    • Guardrails AI

Un modèle déclaré. L'analyse trouve le reste.

Ce que l'équipe a déclaré

  • Déclaré: openai/gpt-4o-minisrc/lib/chat.ts:23

Ce que l'analyse a trouvé

  • Non déclaré: mcp://prod-postgresinfra/mcp.ts:42
  • Non déclaré: meta-llama/Llama-3.1-8Bmodels/local.gguf
  • Dérive: extract-piilib/pii.ts:17
  • Absent: Aucun garde-fouapps/legacy-agent/
  • Gouverné: openai/gpt-4o-minisrc/lib/chat.ts:23

Lancez-le là où vous livrez.

Chaque analyse publie l'inventaire et un rapport Annexe IV, avec un export CycloneDX.

  1. Votre pipelineUn push, ou une exécution de votre CI.Déclenché
  2. Scan AI-BOMModèles, données, prompts, agents, serveurs MCP et garde-fous.Scanné
  3. InventaireChaque élément avec son fichier et sa ligne.Signalé
  4. RapportAnnexe IV de l'AI Act européen, NIST AI RMF, CycloneDX.Publié

Commencez par un dépôt.

Connectez GitHub, GitLab, Bitbucket ou Azure DevOps, choisissez un dépôt, et le premier scan démarre.

Essayer le cloudRéserver une démo

En détail

Chaque composant d'IA du dépôt.

  • Modèles

    Noms de modèles OpenAI, Anthropic et Google, identifiants HuggingFace, poids locaux GGUF et ONNX.

  • Jeux de données

    Corpus d'entraînement, de fine-tuning, d'évaluation et de RAG, référencés dans le code ou la config.

  • Prompts

    Templates système et utilisateur versionnés, livrés dans le dépôt.

  • Agents

    LangChain, LlamaIndex, CrewAI, Semantic Kernel, AutoGen et boucles ReAct maison.

  • Serveurs MCP

    Les outils que vos agents appellent.

  • Garde-fous

    Llama Guard, NeMo, Guardrails AI, ou aucun.

Lancez-le là où vous livrez.

Chaque scan publie l'inventaire et un rapport Annexe IV de l'AI Act européen, rattaché au règlement (UE) 2024/1689, avec les fonctions du NIST AI RMF et un export CycloneDX.

.github/workflows/ai-bom.yml

- name: CybeDefend Security Scan
  uses: CybeDefend/cybedefend-action@v2
  with:
    pat: ${{ secrets.CYBEDEFEND_PAT }}
    project_id: ${{ secrets.CYBEDEFEND_PROJECT_ID }}
    branch: ${{ github.ref_name }}
    break_on_severity: high
Tout ce qu'il vérifie

On ne gouverne pas l'IA qu'on ne voit pas. Le shadow AI est déjà dans vos dépôts.

Trois raisons pour lesquelles AI-BOM est l'outil de gouvernance par lequel on commence, pas celui qu'on ajoute après coup.

  • La découverte d'abord

    Chaque modèle, jeu de données, prompt, agent, serveur MCP et garde-fou détecté automatiquement.

  • L'Annexe IV de l'AI Act, en natif

    Chaque section de l'Annexe IV a sa règle de génération. La documentation de l'Article 11 passe d'un projet trimestriel à un artefact de CI.

  • Aligné sur le NIST AI RMF

    Chaque composant est étiqueté selon les fonctions Govern / Map / Measure / Manage.

Les preuves Annexe IV de l'AI Act. Un scan pour les produire.

Chaque scan génère un rapport de conformité complet, aligné sur le règlement (UE) 2024/1689. À transmettre au juridique, à votre auditeur ou en réponse au questionnaire sécurité d'un client.

Preuves de l'Annexe IV et correspondance NIST AI RMF incluses dans chaque scan.

  • EU AI Act · Rapport de conformité

    Un rapport par scan, aligné sur le règlement (UE) 2024/1689, prêt pour le juridique et votre auditeur.

  • Par catégorie de risque (Art. 5/6/50)

    Interdit, Haut risque, Limité, Minimal.

Branchez-le dans votre pipeline

Ajoutez la cybedefend-action à votre workflow GitHub, ou appelez la CLI CybeDefend depuis n'importe quel autre pipeline.

Ce qu'AI-BOM détecte, et ce qu'il ne fait pas.

Que détecte exactement AI-BOM ?
Les modèles référencés par nom (identifiants HuggingFace, noms de modèles OpenAI / Anthropic / Google, poids locaux .gguf / .onnx), les jeux de données référencés dans le code ou la configuration, les prompts versionnés livrés dans le dépôt, les URL des serveurs MCP utilisés par vos agents, les graphes LangChain et LlamaIndex, les frameworks d'orchestration d'agents (Semantic Kernel, AutoGen, CrewAI, ReAct maison) et les bibliothèques de garde-fous utilisées (Llama Guard, NeMo, Guardrails AI). Chaque élément entre dans l'inventaire avec son emplacement dans le code, sa version et une classification heuristique.
L'AI Act impose-t-il un AI-BOM ?
L'Article 11 et l'Annexe IV de l'EU AI Act exigent un dossier de documentation technique pour les systèmes d'IA à haut risque avant leur mise sur le marché européen. Ce dossier énumère les modèles, les sources de données d'entraînement, l'usage prévu, les métriques de performance et les mesures de gestion du risque. AI-BOM produit ces preuves dans un format lisible par machine : la documentation devient un simple export, et non plus un projet trimestriel.
Comment l'intégrer à la CI/CD ?
Ajoutez la cybedefend-action à votre workflow GitHub, ou appelez la CLI CybeDefend depuis n'importe quel autre pipeline (GitLab CI, Jenkinsfile, Tekton). Le scan tourne à chaque push, le rapport est publié comme artefact de build, et le contrôle renvoie un code d'erreur quand un nouveau composant interdit ou à haut risque arrive sans documentation de gouvernance.
Quelle est la différence entre AI-BOM et SBOM ?
Le SBOM liste les composants logiciels et leurs CVE. L'AI-BOM liste les composants IA et leurs aspects de gouvernance propres : origine des données d'entraînement, historique de fine-tuning, versions de prompts, périmètre des capacités des agents, couverture des garde-fous, risque résiduel. Les deux sont complémentaires ; CybeDefend produit les deux, et la sortie AI-BOM s'exporte aussi en CycloneDX pour s'intégrer à vos outils SBOM existants.
AI-BOM s'entraîne-t-il sur notre code ?
Non. Votre code ne sert jamais à entraîner un modèle. Pour un scan standard, le dépôt est lu dans un conteneur détruit à la fin du scan, et l'inventaire garde ce qu'il a trouvé : noms des composants, versions, emplacements et catégories de risque.