Webinar em inglêsWebinar com Jason Lee, quarta, 14/10Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscreva-se

Encontra toda a IA do teu código.

Cada modelo, agente, servidor MCP e guardrail do teu código, catalogado numa só análise.

Experimentar a cloudMarcar uma demo
checkout-apiAI-BOMProjeto de demonstração
  • Shadowmcp://prod-postgresinfra/mcp.ts:42

    Uma ferramenta de agente ligada à base de produção, sem âmbito declarado.

    url: "mcp://prod-postgres",

    Incluída no inventário e no relatório do Anexo IV, com o seu ficheiro e a sua linha.

Cada componente de IA, com o seu ficheiro.

  • Modelos

    • openai/gpt-4o-mini
    • meta-llama/Llama-3.1-8B
    • models/local.gguf

  • Agentes

    • LangChain AgentExecutor
    • CrewAI Crew

  • Servidores MCP

    • mcp://prod-postgres
    • mcp://github

  • Guardrails

    • Llama Guard 3
    • Guardrails AI

Um modelo declarado. A análise encontra o resto.

O que a equipa declarou

  • Declarado: openai/gpt-4o-minisrc/lib/chat.ts:23

O que a análise encontrou

  • Shadow: mcp://prod-postgresinfra/mcp.ts:42
  • Shadow: meta-llama/Llama-3.1-8Bmodels/local.gguf
  • Deriva: extract-piilib/pii.ts:17
  • Ausente: Sem guardrailapps/legacy-agent/
  • Governado: openai/gpt-4o-minisrc/lib/chat.ts:23

Corre-o onde fazes deploy.

Cada análise publica o inventário e um relatório do Anexo IV, com uma exportação CycloneDX.

  1. A tua pipelineUm push, ou uma execução do teu CI.Iniciada
  2. Análise AI-BOMModelos, dados, prompts, agentes, servidores MCP e guardrails.Analisado
  3. InventárioCada elemento com o seu ficheiro e a sua linha.Assinalado
  4. RelatórioAnexo IV do AI Act europeu, NIST AI RMF, CycloneDX.Publicado

Começa por um repositório.

Liga o GitHub, o GitLab, o Bitbucket ou o Azure DevOps, escolhe um repositório e a primeira análise arranca.

Experimentar a cloudMarcar uma demo

Em detalhe

Cada componente de IA do repositório.

  • Modelos

    Nomes de modelos da OpenAI, Anthropic e Google, IDs do HuggingFace, pesos locais GGUF e ONNX.

  • Datasets

    Corpora de treino, fine-tuning, avaliação e RAG, referenciados no código ou na config.

  • Prompts

    Templates de sistema e de utilizador versionados, publicados no repositório.

  • Agentes

    LangChain, LlamaIndex, CrewAI, Semantic Kernel, AutoGen e ciclos ReAct próprios.

  • Servidores MCP

    As ferramentas que os teus agentes chamam.

  • Guardrails

    Llama Guard, NeMo, Guardrails AI, ou nenhum.

Corre-o onde fazes deploy.

Cada análise publica o inventário e um relatório do Anexo IV do AI Act europeu, associado ao Regulamento (UE) 2024/1689, com etiquetas do NIST AI RMF e uma exportação CycloneDX.

.github/workflows/ai-bom.yml

- name: CybeDefend Security Scan
  uses: CybeDefend/cybedefend-action@v2
  with:
    pat: ${{ secrets.CYBEDEFEND_PAT }}
    project_id: ${{ secrets.CYBEDEFEND_PROJECT_ID }}
    branch: ${{ github.ref_name }}
    break_on_severity: high
Tudo o que verifica

Não governas a IA que não vês. A shadow AI já está nos teus repositórios.

Três razões para começar a governação pelo AI-BOM, e não o deixar para o fim.

  • Primeiro, descobrir

    Cada modelo, dataset, prompt, agente, servidor MCP e guardrail, identificado automaticamente.

  • Anexo IV do EU AI Act, de raiz

    Cada secção do Anexo IV tem a sua regra de emissão. A documentação do Artigo 11 deixa de ser um projeto trimestral e passa a artefacto de CI.

  • Alinhado com o NIST AI RMF

    Cada componente é etiquetado segundo as funções Govern / Map / Measure / Manage.

Evidência do Anexo IV do EU AI Act. Uma análise para a entregares.

Cada análise gera um relatório de conformidade completo, alinhado com o Regulamento (UE) 2024/1689, para o jurídico, o teu auditor ou o questionário de segurança do teu cliente.

Evidências do Anexo IV + mapeamento NIST AI RMF incluídos em cada análise.

  • EU AI Act · Relatório de conformidade

    Um relatório por análise, alinhado com o Regulamento (UE) 2024/1689, pronto para o jurídico e para o teu auditor.

  • Por categoria de risco (Art. 5/6/50)

    Proibido, Alto, Limitado, Mínimo.

Integra-o na tua pipeline

Adiciona a cybedefend-action ao teu workflow do GitHub, ou chama a CybeDefend CLI a partir de qualquer outra pipeline.

O que o AI-BOM apanha, e o que lhe escapa.

O que é que o AI-BOM deteta, ao certo?
Modelos referenciados por nome (IDs do HuggingFace, strings de modelos OpenAI / Anthropic / Google, pesos locais .gguf / .onnx), datasets referenciados no código ou na config, prompts versionados que vão no repo, URLs de servidores MCP que os teus agentes consomem, grafos LangChain e LlamaIndex, frameworks de orquestração de agentes (Semantic Kernel, AutoGen, CrewAI, ReAct à medida) e bibliotecas de guardrails em uso (Llama Guard, NeMo, Guardrails AI). Cada item entra no inventário com a sua localização no código, a versão fixada e uma classificação heurística.
O AI-BOM é exigido pelo EU AI Act?
O Artigo 11 e o Anexo IV do EU AI Act exigem um pacote de documentação técnica para sistemas de IA de alto risco antes de entrarem no mercado europeu. Esse pacote enumera os modelos, as fontes de dados de treino, a utilização prevista, as métricas de desempenho e as medidas de gestão de risco. O AI-BOM produz a evidência em formato legível por máquina, por isso a etapa de documentação passa a ser uma exportação em vez de um projeto trimestral.
Como é que se integra no CI/CD?
Adiciona a cybedefend-action ao teu workflow do GitHub, ou chama a CybeDefend CLI a partir de qualquer outra pipeline (GitLab CI, Jenkinsfile, Tekton). A análise corre em cada push, o relatório é publicado como artefacto de build e o gate sai com código diferente de zero sempre que um novo componente proibido ou de alto risco entra sem documentação de governação.
Qual é a diferença entre AI-BOM e SBOM?
O SBOM lista componentes de software e CVEs. O AI-BOM lista componentes de IA e as facetas de governação próprias da IA: origem dos dados de treino, linhagem do fine-tune, versões de prompts, âmbito das capacidades do agente, cobertura de guardrails, risco residual. São complementares; a CybeDefend produz os dois, e o resultado do AI-BOM também é exportável em CycloneDX, por isso encaixa nas ferramentas de SBOM que já tens.
O AI-BOM treina com o nosso código?
Não. O teu código nunca é usado para treinar um modelo. Numa análise standard, o repositório é lido num contentor que é destruído quando a análise termina, e o inventário guarda o que encontrou: nomes dos componentes, versões, localizações e categorias de risco.