Webinar in ingleseWebinar con Jason Lee, mer 14 ottYour newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkIscriviti

Trova tutta l'AI nel tuo codice.

Ogni modello, agente, server MCP e guardrail nel tuo codice, catalogato in una sola scansione.

Prova il cloudPrenota una demo
checkout-apiAI-BOMProgetto dimostrativo
  • Shadowmcp://prod-postgresinfra/mcp.ts:42

    Uno strumento per agenti collegato al database di produzione, senza ambito dichiarato.

    url: "mcp://prod-postgres",

    Incluso nell'inventario e nel report dell'Allegato IV, con il suo file e la sua riga.

Ogni componente di IA, con il suo file.

  • Modelli

    • openai/gpt-4o-mini
    • meta-llama/Llama-3.1-8B
    • models/local.gguf

  • Agenti

    • LangChain AgentExecutor
    • CrewAI Crew

  • Server MCP

    • mcp://prod-postgres
    • mcp://github

  • Guardrail

    • Llama Guard 3
    • Guardrails AI

Un modello dichiarato. La scansione trova il resto.

Ciò che il team ha dichiarato

  • Dichiarato: openai/gpt-4o-minisrc/lib/chat.ts:23

Ciò che ha trovato la scansione

  • Shadow: mcp://prod-postgresinfra/mcp.ts:42
  • Shadow: meta-llama/Llama-3.1-8Bmodels/local.gguf
  • Deriva: extract-piilib/pii.ts:17
  • Assente: Nessun guardrailapps/legacy-agent/
  • Governato: openai/gpt-4o-minisrc/lib/chat.ts:23

Eseguilo dove rilasci.

Ogni scansione pubblica l'inventario e un report dell'Allegato IV, con un export CycloneDX.

  1. La tua pipelineUn push, o un'esecuzione della tua CI.Avviata
  2. Scansione AI-BOMModelli, dati, prompt, agenti, server MCP e guardrail.Scansionato
  3. InventarioOgni elemento con il suo file e la sua riga.Segnalato
  4. ReportAllegato IV dell'AI Act europeo, NIST AI RMF, CycloneDX.Pubblicato

Inizia da un repository.

Collega GitHub, GitLab, Bitbucket o Azure DevOps, scegli un repository e la prima scansione parte.

Prova il cloudPrenota una demo

Nel dettaglio

Ogni componente AI del repository.

  • Modelli

    Nomi di modelli OpenAI, Anthropic e Google, ID HuggingFace, pesi locali GGUF e ONNX.

  • Dataset

    Corpora di training, fine-tuning, valutazione e RAG, referenziati nel codice o nella configurazione.

  • Prompt

    Template di sistema e utente versionati, distribuiti nel repository.

  • Agenti

    LangChain, LlamaIndex, CrewAI, Semantic Kernel, AutoGen e loop ReAct personalizzati.

  • Server MCP

    Gli strumenti che i tuoi agenti chiamano.

  • Guardrail

    Llama Guard, NeMo, Guardrails AI, o nessuno.

Eseguilo dove rilasci.

Ogni scansione pubblica l'inventario e un report dell'Allegato IV dell'AI Act europeo, collegato al Regolamento (UE) 2024/1689, con i tag del NIST AI RMF e un export CycloneDX.

.github/workflows/ai-bom.yml

- name: CybeDefend Security Scan
  uses: CybeDefend/cybedefend-action@v2
  with:
    pat: ${{ secrets.CYBEDEFEND_PAT }}
    project_id: ${{ secrets.CYBEDEFEND_PROJECT_ID }}
    branch: ${{ github.ref_name }}
    break_on_severity: high
Tutto quello che controlla

Non puoi governare l'AI che non vedi. La shadow AI è già nei tuoi repo.

Tre motivi per mettere AI-BOM all'inizio del processo di governance, non in coda.

  • Prima la scoperta

    Ogni modello, dataset, prompt, agente, server MCP e guardrail rilevato automaticamente.

  • Pensato per l'Allegato IV dell'EU AI Act

    Ogni sezione dell'Allegato IV ha la sua regola di emissione. La documentazione dell'Articolo 11 passa da progetto trimestrale ad artefatto di CI.

  • Allineato al NIST AI RMF

    Ogni componente è classificato secondo le funzioni Govern / Map / Measure / Manage.

Le evidenze per l'Allegato IV. Basta una scansione.

Ogni scansione genera un report di conformità completo, allineato al Regolamento (UE) 2024/1689. Consegnalo all'ufficio legale, al tuo auditor o usalo per il questionario di sicurezza del tuo cliente.

Evidenze per l'Allegato IV e mappatura NIST AI RMF incluse in ogni scansione.

  • EU AI Act · Report di conformità

    Un report per ogni scansione, allineato al Regolamento (UE) 2024/1689, pronto per l'ufficio legale e per il tuo auditor.

  • Per categoria di rischio (Art. 5/6/50)

    Vietato, Alto, Limitato, Minimo.

Inseriscilo nella tua pipeline

Aggiungi la cybedefend-action al tuo workflow GitHub, oppure chiama la CybeDefend CLI da qualsiasi altra pipeline.

Cosa rileva AI-BOM, e cosa no.

Cosa rileva esattamente AI-BOM?
Modelli richiamati per nome (ID HuggingFace, stringhe modello OpenAI / Anthropic / Google, pesi locali .gguf / .onnx), dataset citati nel codice o nella configurazione, prompt versionati presenti nel repo, URL di server MCP usati dai tuoi agenti, grafi LangChain e LlamaIndex, framework di orchestrazione di agenti (Semantic Kernel, AutoGen, CrewAI, ReAct custom) e librerie di guardrail in uso (Llama Guard, NeMo, Guardrails AI). Ogni elemento entra nell'inventario con la sua posizione nel codice sorgente, la versione fissata e una classificazione euristica.
AI-BOM è richiesto dall'EU AI Act?
L'Articolo 11 e l'Allegato IV dell'EU AI Act richiedono un pacchetto di documentazione tecnica per i sistemi AI ad alto rischio prima che entrino nel mercato UE. Quel pacchetto elenca modelli, fonti dei dati di addestramento, uso previsto, metriche di performance e misure di gestione del rischio. AI-BOM produce le evidenze in formato leggibile da macchina, così la fase di documentazione diventa un export invece di un progetto trimestrale.
Come si integra in CI/CD?
Aggiungi la cybedefend-action al tuo workflow GitHub, oppure chiama la CybeDefend CLI da qualsiasi altra pipeline (GitLab CI, Jenkinsfile, Tekton). La scansione parte a ogni push, il report viene pubblicato come artefatto di build e il gate restituisce un codice di uscita diverso da zero quando entra un nuovo componente vietato o ad alto rischio senza documentazione di governance.
Qual è la differenza tra AI-BOM e SBOM?
Lo SBOM elenca componenti software e CVE. L'AI-BOM elenca i componenti AI e i loro aspetti di governance specifici: origine dei dati di addestramento, provenienza del fine-tuning, versioni dei prompt, perimetro delle capacità degli agenti, copertura dei guardrail, rischio residuo. Sono complementari: CybeDefend li produce entrambi e l'output AI-BOM è esportabile anche in CycloneDX, così si integra nei tuoi strumenti SBOM esistenti.
AI-BOM si addestra sul nostro codice?
No. Il tuo codice non viene mai usato per addestrare un modello. In una scansione standard, il repository viene letto in un container distrutto al termine della scansione, e l'inventario conserva ciò che ha trovato: nomi dei componenti, versioni, posizioni e categorie di rischio.