# AI Supply-chain Security CURRENT_STATUS: UNKNOWN OBSERVATION: SPEC_ONLY FRESHNESS: UNKNOWN PAGE_TYPE: reference CANONICAL_URL: /tools/ea-104-ai-supply-chain-security CLAIM_IDS: none EVIDENCE_IDS: EVD-EA-104-URL-BFAC836A083D, EVD-EA-104-URL-3382974F730F, EVD-EA-104-URL-9719D15362F8, EA-104-R11-RESEARCH, EA-104-R11-WEB-READBACK UNKNOWN_IDS: EA-104-UNKNOWN-01, EA-104-UNKNOWN-CURRENTNESS OPS_IDS: none ## Summary 「SLSAはprovenanceとattestationの表現・検証を支えるが、artifactの安全性や品質を単独では保証しない。OpenSSF Scorecardは対象OSS repositoryの時点別check結果であり、全展開の保証ではない。」 ## Current judgment SLSAはprovenance/attestationと段階的なsecurity guaranteeを表現し、SSDFはsecure software developmentの推奨枠組み、ScorecardはOSS repositoryの具体的check群を提供する。AI supply chainではsource→build→artifact→distribution→runtimeを別証跡にし、model weights/MCP/Skillにも同じ出所・hash・署名・権限審査を適用するのが妥当。ただしこれは設計推論であり、3資料がAI固有の安全を保証するわけではない。 ## Scope Enterprise AI Core / supply-chain security / OSS practice / audit ## Confirmed - SLSAはprovenance/attestationと段階的なsecurity guaranteeを表現し、SSDFはsecure software developmentの推奨枠組み、ScorecardはOSS repositoryの具体的check群を提供する。AI supply chainではsource→build→artifact→distribution→runtimeを別証跡にし、model weights/MCP/Skillにも同じ出所・hash・署名・権限審査を適用するのが妥当。ただしこれは設計推論であり、3資料がAI固有の安全を保証するわけではない。 ## UNKNOWN - EA-104-UNKNOWN-01: model weight provenance、MCP/Skillの標準的署名・失効、private registry mirror、GPU/containerの実測chain、provider hosted modelの証明範囲。 - EA-104-UNKNOWN-CURRENTNESS: 外部根拠の再確認日がcanonical body/control-planeで確定していないため、currentnessはUNKNOWNとして保持する。日付を推測補完しない。 ## Evidence - EVD-EA-104-URL-BFAC836A083D (RESEARCH): 1) source class: supply-chain specification; exact title: SLSA specification; author/org: SLSA / OpenSSF ecosystem; canonical URL: — https://slsa.dev/spec/v1.2/ - EVD-EA-104-URL-3382974F730F (RESEARCH): 2) source class: government secure-development framework; exact title: Secure Software Development Framework (SSDF) Version 1.1; author/org: NIST, Murugiah Souppaya, Karen Scarfone — https://csrc.nist.gov/pubs/sp/800/218/final - EVD-EA-104-URL-9719D15362F8 (RESEARCH): 3) source class: author-maintained OSS implementation; exact title: OpenSSF Scorecard; author/org: OpenSSF; canonical URL: — https://github.com/ossf/scorecard - EA-104-R11-RESEARCH (RESEARCH): EA-104 監査済みresearch / canonical revision binding - EA-104-R11-WEB-READBACK (IMPL): EA-104 Web body identity / canonical readback ## Failure / limits SLSA provenanceは出所/ビルド性質の証拠で、artifactが無害・高品質とは限らない。Scorecardのscoreは対象repo・実行時点・check設定依存で、全version/全deploymentへ一般化できない。 ## Failure / limits registry掲載、latest、scoreだけで受入承認しない。 UNIT_CLOSE_STATUS: INDIVIDUAL_BOUNDED_CLOSE / EVIDENCE_RECORDED / UNKNOWN_PRESERVED --- ## Practice artifact type、source repository、release/tag/commit、digest、builder、provenance、signature/certificate、license、vulnerability、runtime permissions、MCP/Skill tool scope。 ## Practice 実装状態: allowlist、digest pin、provenance verification、SBOM/license/vulnerability reviewを受入ガード候補として確立。実artifactの検証は未実施。 ## Practice Evaluation: 無認証のfixture repository/artifactで、digest変更、署名不一致、dependency drift、危険なworkflowを検出するTEST_PROFILEを設計。実運用registry変更はしない。 ## Practice SECURITY/AUDIT: provenanceとreview resultをartifact IDに紐付け。PRIVACY: model/skill metadataの秘匿範囲を区別。COST: signing/build verificationの工数は未計測。OPERABILITY: allow/deny/exceptionとexpiryを記録。 ## Practice 本文は供給網をmodel/package/container/MCP/Skillごとに、source・digest・build provenance・signature・license・runtime permissionの列へ分解する。 ## Practice SLSA v1.2 remains current approved spec; NIST SSDF and OpenSSF Scorecard are distinct evidence classes and Scorecard is not an artifact-safety certificate. ## WHY_THIS_MATTERS_TO_UPDATE model、package、container、MCP server、Skillの供給網を「OSSだから安全」「registry掲載だから承認済み」と扱うと、改ざん・出所・依存関係・実行権限の差を落とす。 ## SCOPE_ROUTING Enterprise AI Core / supply-chain security / OSS practice / audit ## CLAIM_OR_RESEARCH_QUESTION SLSA、NIST SSDF、OpenSSF Scorecardは、AI artifact供給網で何を証明し、何を証明しないか。 ## EVIDENCE TABLE 1) source class: supply-chain specification; exact title: SLSA specification; author/org: SLSA / OpenSSF ecosystem; canonical URL: https://slsa.dev/spec/v1.2/; publication/update/access: accessed 2026-09-13; version/release: SLSA v1.2; supporting locator: lines 52, 69-76, 92-101（levels/tracks、artifact traceability、provenance、verification、attestation formats）; evidence label: VERIFIED_SPEC; relation: support / limit。 2) source class: government secure-development framework; exact title: Secure Software Development Framework (SSDF) Version 1.1; author/org: NIST, Murugiah Souppaya, Karen Scarfone, Donna Dodson; canonical URL: https://csrc.nist.gov/pubs/sp/800/218/final; publication/update/access: 2022-02 / accessed 2026-09-13; version/release: SP 800-218 v1.1; supporting locator: lines 64-74（title, date, authors）; evidence label: VERIFIED_SPEC; relation: support / context。 3) source class: author-maintained OSS implementation; exact title: OpenSSF Scorecard; author/org: OpenSSF; canonical URL: https://github.com/ossf/scorecard; publication/update/access: current repository accessed 2026-09-13; version/release: repository checks; supporting locator: README lines 598-625（checks）、656-665（weighted aggregate score）; evidence label: OSS_PRACTICE + PRODUCT_VOLATILE; relation: support / limit。 ## FINDINGS SLSAはprovenance/attestationと段階的なsecurity guaranteeを表現し、SSDFはsecure software developmentの推奨枠組み、ScorecardはOSS repositoryの具体的check群を提供する。AI supply chainではsource→build→artifact→distribution→runtimeを別証跡にし、model weights/MCP/Skillにも同じ出所・hash・署名・権限審査を適用するのが妥当。ただしこれは設計推論であり、3資料がAI固有の安全を保証するわけではない。 ## LIMITS / COUNTEREVIDENCE / FAILURE ENVELOPE SLSA provenanceは出所/ビルド性質の証拠で、artifactが無害・高品質とは限らない。Scorecardのscoreは対象repo・実行時点・check設定依存で、全version/全deploymentへ一般化できない。 ## AVAILABILITY_GATES artifact type、source repository、release/tag/commit、digest、builder、provenance、signature/certificate、license、vulnerability、runtime permissions、MCP/Skill tool scope。 ## IMPLEMENTATION_STATE 実装状態: allowlist、digest pin、provenance verification、SBOM/license/vulnerability reviewを受入ガード候補として確立。実artifactの検証は未実施。 ## BENCHMARK_OR_EVAL Evaluation: 無認証のfixture repository/artifactで、digest変更、署名不一致、dependency drift、危険なworkflowを検出するTEST_PROFILEを設計。実運用registry変更はしない。 ## SECURITY / PRIVACY / AUDIT / COST / OPERABILITY SECURITY/AUDIT: provenanceとreview resultをartifact IDに紐付け。PRIVACY: model/skill metadataの秘匿範囲を区別。COST: signing/build verificationの工数は未計測。OPERABILITY: allow/deny/exceptionとexpiryを記録。 ## SAFE_WORDING_FOR_FUTURE_BOOK 「SLSAはprovenanceとattestationの表現・検証を支えるが、artifactの安全性や品質を単独では保証しない。OpenSSF Scorecardは対象OSS repositoryの時点別check結果であり、全展開の保証ではない。」 ## UPDATE_WORK_HANDOFF 本文は供給網をmodel/package/container/MCP/Skillごとに、source・digest・build provenance・signature・license・runtime permissionの列へ分解する。 ## OPEN_UNKNOWN model weight provenance、MCP/Skillの標準的署名・失効、private registry mirror、GPU/containerの実測chain、provider hosted modelの証明範囲。 ## STOP_CONDITION registry掲載、latest、scoreだけで受入承認しない。 UNIT_CLOSE_STATUS: INDIVIDUAL_BOUNDED_CLOSE / EVIDENCE_RECORDED / UNKNOWN_PRESERVED --- ## AUDITED_CURRENTNESS_BOUNDARY SLSA v1.2 remains current approved spec; NIST SSDF and OpenSSF Scorecard are distinct evidence classes and Scorecard is not an artifact-safety certificate. NEXT: /agent/start.json STOP: This is a knowledge projection, not an execution order.