# AI Asset Inventory／AI-SBOM

CURRENT_STATUS: UNKNOWN
OBSERVATION: SPEC_ONLY
FRESHNESS: UNKNOWN
PAGE_TYPE: reference
CANONICAL_URL: /tools/ea-056-ai-asset-inventory-ai-sbom
CLAIM_IDS: none
EVIDENCE_IDS: EVD-EA-056-URL-62BBE48F6809, EVD-EA-056-URL-F909FB4D7C8F, EVD-EA-056-URL-BFEEC068C3D5, EVD-EA-056-URL-8EE6BD77C5D0, EVD-EA-056-URL-FD331A95EE43, EVD-EA-056-URL-BFC4AE557A9E, EVD-EA-056-URL-1D8CB22E18B7, EVD-EA-056-URL-38F4C1CC7366, EA-056-R11-RESEARCH, EA-056-R11-WEB-READBACK
UNKNOWN_IDS: EA-056-UNKNOWN-01, EA-056-UNKNOWN-CURRENTNESS
OPS_IDS: none

## Summary
「AI Asset Inventoryでは、SPDXやCycloneDXのAI/ML対応BOMを供給網の機械可読スナップショットとして利用できる。ただし、それだけで企業内のAI利用を完全に棚卸しできるわけではない。prompt、外部API、MCP/tool、RAG corpus、provider-side deploymentなど、実行時に変化する依存をRuntime Asset Registryで補完し、UNKNOWNを明示したまま継続更新する必要がある。」

## Current judgment
1. AI-BOMは構想だけではない。SPDX 3.0.1にはstable AI ProfileとDataset Profileがあり、AIPackage/DatasetPackageとしてmodel/applicationとdataset固有情報を表現できる。SPDX AI WGでは3.1-RC1はWIPであり、future claimとして混同しない。
2. CycloneDXは2026-09-14時点でv1.7がcurrent release。`machine-learning-model`向けModelCardにintended use、limitations、training parameters、datasets、performance metrics等を記述でき、full-stack BOMの一部としてAI/MLを扱える。
3. ただし「AI-SBOM標準が存在する」ことと「企業のAI asset inventoryが完全である」ことは別。台帳が求めるmodel、API、prompt、dataset、tool、OSS、MCP等のうち、model/dataset/software/serviceは標準BOMへ比較的自然に写せるが、prompt template/version、hosted modelのopaque revision、agent policy、MCP server/tool schema、provider tenant setting、RAG corpus snapshot、evaluation/guardrail config等は標準の専用first-class primitiveが不足または実装依存になり得る。
4. 将来のEnterprise AI Coreでは、BOM documentとRuntime Asset Registryを二層化するのが安全。BOMはmachine-readable supply-chain snapshot、Registryはowner、business purpose、environment、endpoint/tenant、approval state、data classification、deployment status、last-seen、runtime dependency、decommission state等を継続管理する。
5. 最小dependency graph候補: AI application/agent → provider/model/deployment → prompt/template → tool/MCP/API → software/runtime/container → retrieval/vector store → dataset/corpus → evaluator/guardrail/policy。各nodeにstable local IDを与え、外部標準identifier/hash/PURL等が存在する場合は併記する。
6. InventoryはEA-057 Shadow AI discoveryの受け皿でもある。discoveryで見つかったassetを即「承認済み」とせず、discovered/declared/verified/approved/retired等のstateを分離する。

## Scope
Enterprise AI Core / governance / security / supply chain / interoperability / implementation / non-LLM component。SPDX/CycloneDXは標準・serialization、組織inventoryはorganization overlayとして分離。

## Confirmed
- AI-BOMは構想だけではない。SPDX 3.0.1にはstable AI ProfileとDataset Profileがあり、AIPackage/DatasetPackageとしてmodel/applicationとdataset固有情報を表現できる。SPDX AI WGでは3.1-RC1はWIPであり、future claimとして混同しない。
- CycloneDXは2026-09-14時点でv1.7がcurrent release。`machine-learning-model`向けModelCardにintended use、limitations、training parameters、datasets、performance metrics等を記述でき、full-stack BOMの一部としてAI/MLを扱える。
- ただし「AI-SBOM標準が存在する」ことと「企業のAI asset inventoryが完全である」ことは別。台帳が求めるmodel、API、prompt、dataset、tool、OSS、MCP等のうち、model/dataset/software/serviceは標準BOMへ比較的自然に写せるが、prompt template/version、hosted modelのopaque revision、agent policy、MCP server/tool schema、provider tenant setting、RAG corpus snapshot、evaluation/guardrail config等は標準の専用first-class primitiveが不足または実装依存になり得る。
- 将来のEnterprise AI Coreでは、BOM documentとRuntime Asset Registryを二層化するのが安全。BOMはmachine-readable supply-chain snapshot、Registryはowner、business purpose、environment、endpoint/tenant、approval state、data classification、deployment status、last-seen、runtime dependency、decommission state等を継続管理する。
- 最小dependency graph候補: AI application/agent → provider/model/deployment → prompt/template → tool/MCP/API → software/runtime/container → retrieval/vector store → dataset/corpus → evaluator/guardrail/policy。各nodeにstable local IDを与え、外部標準identifier/hash/PURL等が存在する場合は併記する。
- InventoryはEA-057 Shadow AI discoveryの受け皿でもある。discoveryで見つかったassetを即「承認済み」とせず、discovered/declared/verified/approved/retired等のstateを分離する。

## UNKNOWN
- EA-056-UNKNOWN-01: OPEN: prompt/MCP/agent-policyの標準化されたBOM表現、主要toolingのCycloneDX 1.7/SPDX 3.0.1 AI profile実装成熟度、hosted model exact revision/provenanceのprovider別取得性、cross-format mapping fidelity。STOP: 主要BOM標準と主要provider inventory APIのmappingが確定し、runtime registryの共通最小schemaを定義できた時点で再採集。

---
- EA-056-UNKNOWN-CURRENTNESS: 外部根拠の再確認日がcanonical body/control-planeで確定していないため、currentnessはUNKNOWNとして保持する。日付を推測補完しない。

## Evidence
- EVD-EA-056-URL-62BBE48F6809 (RESEARCH): [Official standard] SPDX Specification 3.0.1 AI Profile / SPDX Project / v3.0.1 stable; accessed 2026-09-14 / — https://spdx.github.io/spdx-spec/v3.0.1/model/AI/AI/
- EVD-EA-056-URL-F909FB4D7C8F (RESEARCH): [Official standard] AIPackage / SPDX Specification 3.0.1 / accessed 2026-09-14 / — https://spdx.github.io/spdx-spec/v3.0.1/model/AI/Classes/AIPackage/
- EVD-EA-056-URL-BFEEC068C3D5 (RESEARCH): [Official standard] DatasetPackage / SPDX Specification 3.0.1 / accessed 2026-09-14 / — https://spdx.github.io/spdx-spec/v3.0.1/model/Dataset/Classes/DatasetPackage/
- EVD-EA-056-URL-8EE6BD77C5D0 (RESEARCH): [Official working-group status] Profiles overview / SPDX AI Working Group / updated 2026-03-08; accessed 2026-09-14 / — https://spdxai.github.io/profiles/
- EVD-EA-056-URL-FD331A95EE43 (RESEARCH): [Official standard/spec] CycloneDX Specification Overview / OWASP Foundation + Ecma International / ECMA-424, published 2025-12-10; accessed 2026-09-14 / — https://cyclonedx.org/specification/overview/
- EVD-EA-056-URL-BFC4AE557A9E (RESEARCH): [Official release/spec] CycloneDX specification release history / OWASP CycloneDX / current v1.7 released 2025-10-21; accessed 2026-09-14 / — https://github.com/CycloneDX/specification
- EVD-EA-056-URL-1D8CB22E18B7 (RESEARCH): [Official v1.7 reference] CycloneDX v1.7 Protobuf Reference / OWASP CycloneDX / v1.7; accessed 2026-09-14 / — https://cyclonedx.org/docs/1.7/proto/
- EVD-EA-056-URL-38F4C1CC7366 (RESEARCH): [Project definition, lower authority than formal specs] AI Bill of Materials Project / OWASP / current, accessed 2026-09-14 / — https://owaspaibom.org/
- EA-056-R11-RESEARCH (RESEARCH): EA-056 監査済みresearch / canonical revision binding
- EA-056-R11-WEB-READBACK (IMPL): EA-056 Web body identity / canonical readback

## Failure / limits
SPDX/CycloneDXが表現可能でも、自動生成toolが全AI dependencyを検出できるとは限らない。特にprompt、browser/desktop agent、dynamic MCP/tool discovery、provider-side model routing、runtime-generated codeは静的scanから漏れる。
## Failure / limits
SaaS/hosted modelではweight hash、training dataset、exact backend revisionが非公開の場合がある。UNKNOWNを推測で埋めない。
## Failure / limits
`model name`だけではasset identityとして弱い。provider、endpoint/deployment、region、API revision、observed model ID、effective date等を併記できる設計が必要。
## Failure / limits
BOMはpoint-in-time snapshotになりやすい。runtime routing/fallbackやdynamic agent dependencyを反映しないまま陳腐化するfailure envelopeがある。
## Failure / limits
OWASP AIBOM projectの広い定義をSPDX/CycloneDXの必須schema項目と同一視しない。
## Failure / limits
OPEN: prompt/MCP/agent-policyの標準化されたBOM表現、主要toolingのCycloneDX 1.7/SPDX 3.0.1 AI profile実装成熟度、hosted model exact revision/provenanceのprovider別取得性、cross-format mapping fidelity。STOP: 主要BOM標準と主要provider inventory APIのmappingが確定し、runtime registryの共通最小schemaを定義できた時点で再採集。

---
## Practice
SPDX 3.0.1 AI/Dataset Profileはstable spec。SPDX 3.1-RC1はWIPでありcurrent stableとして扱わない。
## Practice
CycloneDX v1.7は現行releaseだが、生成・ingestion toolingがv1.7のAI/ML fieldsを完全対応するかは製品ごとに再確認が必要。
## Practice
Provider-hosted model/dataset provenanceの開示可能範囲はprovider・契約・region・modelごとに異なる。
## Practice
Standards available, enterprise completeness not solved。SPDX 3.0.1とCycloneDX 1.7にAI/ML表現が存在するため「AI-BOMは未標準化」とは書けない。一方、prompt/MCP/tool/policy/provider-runtimeを含むEnterprise AI operational inventoryの完全な共通schemaは今回確認できず、Core拡張が必要。
## Practice
Inventory completenessの普遍benchmarkは今回確認できずUNKNOWN。後続Work用TEST_PROFILE（未実施・PROPOSAL）: 既知fixtureとしてmodel/API/prompt/dataset/tool/MCP/OSS/RAG/evaluator/guardrailを配置し、各scanner/registry方式についてasset recall、dependency-edge recall、version fidelity、unknown-field率、stale detection time、false merge率を測定する。BOM schema conformanceとdiscovery completenessを別metricにする。
## Practice
Security: asset inventory自体が攻撃者に有用なarchitecture mapとなるためleast privilege、export control、tamper evidenceが必要。
Privacy: dataset metadataやprompt/corpus名称だけでもsensitive business informationを露出し得る。inventoryにraw dataを複製せずreference/hash/classification中心とする。
Audit: BOM serial/version、generation tool、generated-at、source-of-truth、approver、change reasonを保持。Runtime discovery由来かdeclared由来かoriginも保持する。
Cost: full continuous discoveryはlog/API/CMDB連携コストを伴うためcritical asset優先度を設定可能。ただし未観測assetを「存在しない」と扱わない。
Operability: BOM生成をCI/CD・model promotionへ接続し、runtime registryはdeployment/change/decommissionと同期する方向が実用的。
## Practice
EA-055 Forensicsではrun provenanceをasset IDへ接続し、incident時に「どのversion/dependencyが使われたか」を逆引きできるようにする。EA-057 Shadow AI発見編ではdiscovery sourceをinventoryへ流入させるが、approval stateを分ける。将来provider mappingではmodel/deployment ID、API revision、region、retirement/deprecation情報の取得可能性を再確認する。
## Practice
SPDX 3.0.1 AI/Dataset profiles remain stable while SPDX 3.1-RC1 is work in progress. CycloneDX normative specification line is 1.7 and current published GitHub release is 1.7.1; tracked 1.7.2 maintenance is not treated as a newer published release.
## WHY_THIS_MATTERS_TO_UPDATE
Enterprise AIでは、通常のsoftware SBOMだけではmodel、dataset、prompt、provider API、agent/tool、MCP server、guardrail、embedding/reranker、vector store等の依存を十分に把握できない。脆弱性・ライセンス・モデル廃止・dataset provenance・shadow AI・incident blast radiusを追跡するには、AI固有BOM標準と実運用inventoryの差を整理する必要がある。

## SCOPE_ROUTING
Enterprise AI Core / governance / security / supply chain / interoperability / implementation / non-LLM component。SPDX/CycloneDXは標準・serialization、組織inventoryはorganization overlayとして分離。

## CLAIM_OR_RESEARCH_QUESTION
1. 2026-09-14時点でAI/ML assetを機械可読に記述できる標準は何か。
2. Model/dataset以外にprompt、tool、API、MCP、agent workflow等をどこまで標準BOMだけで表現できるか。
3. 「AI-BOMがある」と「組織内AI assetを網羅できている」を分離するには何を追加管理すべきか。

## EVIDENCE TABLE
- [Official standard] SPDX Specification 3.0.1 AI Profile / SPDX Project / v3.0.1 stable; accessed 2026-09-14 / https://spdx.github.io/spdx-spec/v3.0.1/model/AI/AI/ / locator: AI Profile standardizes documentation/sharing of AI software packages; AIPackage model / VERIFIED_SPEC / support.
- [Official standard] AIPackage / SPDX Specification 3.0.1 / accessed 2026-09-14 / https://spdx.github.io/spdx-spec/v3.0.1/model/AI/Classes/AIPackage/ / locator: AI application or trained AI model metadata / VERIFIED_SPEC / support.
- [Official standard] DatasetPackage / SPDX Specification 3.0.1 / accessed 2026-09-14 / https://spdx.github.io/spdx-spec/v3.0.1/model/Dataset/Classes/DatasetPackage/ / locator: training/testing dataset metadata including collection, preprocessing, confidentiality, sensitive personal information, intended use / VERIFIED_SPEC / support.
- [Official working-group status] Profiles overview / SPDX AI Working Group / updated 2026-03-08; accessed 2026-09-14 / https://spdxai.github.io/profiles/ / locator: SPDX 3.0 AI/Dataset profiles are stable; 3.1-RC1 is work-in-progress / VERIFIED_SPEC / context+limit.
- [Official standard/spec] CycloneDX Specification Overview / OWASP Foundation + Ecma International / ECMA-424, published 2025-12-10; accessed 2026-09-14 / https://cyclonedx.org/specification/overview/ / locator: BOM object model covers components and lifecycle/system transparency / VERIFIED_SPEC / support.
- [Official release/spec] CycloneDX specification release history / OWASP CycloneDX / current v1.7 released 2025-10-21; accessed 2026-09-14 / https://github.com/CycloneDX/specification / locator: v1.7 current release and AI/ML-BOM support / VERIFIED_SPEC + OSS_PRACTICE / support.
- [Official v1.7 reference] CycloneDX v1.7 Protobuf Reference / OWASP CycloneDX / v1.7; accessed 2026-09-14 / https://cyclonedx.org/docs/1.7/proto/ / locator: ModelCard for machine-learning-model, intended uses/limitations, training parameters, datasets, performance metrics; lifecycle/operations inventory concepts / VERIFIED_SPEC / support.
- [Project definition, lower authority than formal specs] AI Bill of Materials Project / OWASP / current, accessed 2026-09-14 / https://owaspaibom.org/ / locator: AIBOM described as machine-readable inventory including models, datasets, agents, tools, guardrails, runtime elements and provenance/rights/integrity/evaluation / SOURCE_REPORT / context.

## FINDINGS
1. AI-BOMは構想だけではない。SPDX 3.0.1にはstable AI ProfileとDataset Profileがあり、AIPackage/DatasetPackageとしてmodel/applicationとdataset固有情報を表現できる。SPDX AI WGでは3.1-RC1はWIPであり、future claimとして混同しない。
2. CycloneDXは2026-09-14時点でv1.7がcurrent release。`machine-learning-model`向けModelCardにintended use、limitations、training parameters、datasets、performance metrics等を記述でき、full-stack BOMの一部としてAI/MLを扱える。
3. ただし「AI-SBOM標準が存在する」ことと「企業のAI asset inventoryが完全である」ことは別。台帳が求めるmodel、API、prompt、dataset、tool、OSS、MCP等のうち、model/dataset/software/serviceは標準BOMへ比較的自然に写せるが、prompt template/version、hosted modelのopaque revision、agent policy、MCP server/tool schema、provider tenant setting、RAG corpus snapshot、evaluation/guardrail config等は標準の専用first-class primitiveが不足または実装依存になり得る。
4. 将来のEnterprise AI Coreでは、BOM documentとRuntime Asset Registryを二層化するのが安全。BOMはmachine-readable supply-chain snapshot、Registryはowner、business purpose、environment、endpoint/tenant、approval state、data classification、deployment status、last-seen、runtime dependency、decommission state等を継続管理する。
5. 最小dependency graph候補: AI application/agent → provider/model/deployment → prompt/template → tool/MCP/API → software/runtime/container → retrieval/vector store → dataset/corpus → evaluator/guardrail/policy。各nodeにstable local IDを与え、外部標準identifier/hash/PURL等が存在する場合は併記する。
6. InventoryはEA-057 Shadow AI discoveryの受け皿でもある。discoveryで見つかったassetを即「承認済み」とせず、discovered/declared/verified/approved/retired等のstateを分離する。

## LIMITS / COUNTEREVIDENCE / FAILURE ENVELOPE
- SPDX/CycloneDXが表現可能でも、自動生成toolが全AI dependencyを検出できるとは限らない。特にprompt、browser/desktop agent、dynamic MCP/tool discovery、provider-side model routing、runtime-generated codeは静的scanから漏れる。
- SaaS/hosted modelではweight hash、training dataset、exact backend revisionが非公開の場合がある。UNKNOWNを推測で埋めない。
- `model name`だけではasset identityとして弱い。provider、endpoint/deployment、region、API revision、observed model ID、effective date等を併記できる設計が必要。
- BOMはpoint-in-time snapshotになりやすい。runtime routing/fallbackやdynamic agent dependencyを反映しないまま陳腐化するfailure envelopeがある。
- OWASP AIBOM projectの広い定義をSPDX/CycloneDXの必須schema項目と同一視しない。

## AVAILABILITY_GATES
- SPDX 3.0.1 AI/Dataset Profileはstable spec。SPDX 3.1-RC1はWIPでありcurrent stableとして扱わない。
- CycloneDX v1.7は現行releaseだが、生成・ingestion toolingがv1.7のAI/ML fieldsを完全対応するかは製品ごとに再確認が必要。
- Provider-hosted model/dataset provenanceの開示可能範囲はprovider・契約・region・modelごとに異なる。

## IMPLEMENTATION_STATE
Standards available, enterprise completeness not solved。SPDX 3.0.1とCycloneDX 1.7にAI/ML表現が存在するため「AI-BOMは未標準化」とは書けない。一方、prompt/MCP/tool/policy/provider-runtimeを含むEnterprise AI operational inventoryの完全な共通schemaは今回確認できず、Core拡張が必要。

## BENCHMARK_OR_EVAL
Inventory completenessの普遍benchmarkは今回確認できずUNKNOWN。後続Work用TEST_PROFILE（未実施・PROPOSAL）: 既知fixtureとしてmodel/API/prompt/dataset/tool/MCP/OSS/RAG/evaluator/guardrailを配置し、各scanner/registry方式についてasset recall、dependency-edge recall、version fidelity、unknown-field率、stale detection time、false merge率を測定する。BOM schema conformanceとdiscovery completenessを別metricにする。

## SECURITY / PRIVACY / AUDIT / COST / OPERABILITY
Security: asset inventory自体が攻撃者に有用なarchitecture mapとなるためleast privilege、export control、tamper evidenceが必要。
Privacy: dataset metadataやprompt/corpus名称だけでもsensitive business informationを露出し得る。inventoryにraw dataを複製せずreference/hash/classification中心とする。
Audit: BOM serial/version、generation tool、generated-at、source-of-truth、approver、change reasonを保持。Runtime discovery由来かdeclared由来かoriginも保持する。
Cost: full continuous discoveryはlog/API/CMDB連携コストを伴うためcritical asset優先度を設定可能。ただし未観測assetを「存在しない」と扱わない。
Operability: BOM生成をCI/CD・model promotionへ接続し、runtime registryはdeployment/change/decommissionと同期する方向が実用的。

## SAFE_WORDING_FOR_FUTURE_BOOK
「AI Asset Inventoryでは、SPDXやCycloneDXのAI/ML対応BOMを供給網の機械可読スナップショットとして利用できる。ただし、それだけで企業内のAI利用を完全に棚卸しできるわけではない。prompt、外部API、MCP/tool、RAG corpus、provider-side deploymentなど、実行時に変化する依存をRuntime Asset Registryで補完し、UNKNOWNを明示したまま継続更新する必要がある。」

## UPDATE_WORK_HANDOFF
EA-055 Forensicsではrun provenanceをasset IDへ接続し、incident時に「どのversion/dependencyが使われたか」を逆引きできるようにする。EA-057 Shadow AI発見編ではdiscovery sourceをinventoryへ流入させるが、approval stateを分ける。将来provider mappingではmodel/deployment ID、API revision、region、retirement/deprecation情報の取得可能性を再確認する。

## OPEN_UNKNOWN / STOP_CONDITION
OPEN: prompt/MCP/agent-policyの標準化されたBOM表現、主要toolingのCycloneDX 1.7/SPDX 3.0.1 AI profile実装成熟度、hosted model exact revision/provenanceのprovider別取得性、cross-format mapping fidelity。STOP: 主要BOM標準と主要provider inventory APIのmappingが確定し、runtime registryの共通最小schemaを定義できた時点で再採集。

---

## CURRENTNESS_AUDIT
SPDX 3.0.1 AI/Dataset profiles remain stable while SPDX 3.1-RC1 is work in progress. CycloneDX normative specification line is 1.7 and current published GitHub release is 1.7.1; tracked 1.7.2 maintenance is not treated as a newer published release.

NEXT: /agent/start.json
STOP: This is a knowledge projection, not an execution order.