AI資産インベントリ／AI-SBOM

Enterprise AIでは、通常のsoftware SBOMだけではmodel、dataset、prompt、provider API、agent/tool、MCP server、guardrail、embedding/reranker、vector store等の依存を十分に把握できない。脆弱性・ライセンス・モデル廃止・dataset provenance・shadow AI・incident blast radiusを追跡するには、AI固有BOM標準と実運用inventoryの差を整理する必要がある。

Enterprise AI Core / governance / security / supply chain / interoperability / implementation / non-LLM component。SPDX/CycloneDXは標準・serialization、組織inventoryはorganization overlayとして分離。

• 2026-09-14時点でAI/ML assetを機械可読に記述できる標準は何か。
• Model/dataset以外にprompt、tool、API、MCP、agent workflow等をどこまで標準BOMだけで表現できるか。
• 「AI-BOMがある」と「組織内AI assetを網羅できている」を分離するには何を追加管理すべきか。

• [Official standard] SPDX Specification 3.0.1 AI Profile / SPDX Project / v3.0.1 stable; accessed 2026-09-14 / https://spdx.github.io/spdx-spec/v3.0.1/model/AI/AI/ / locator: AI Profile standardizes documentation/sharing of AI software packages; AIPackage model / VERIFIED_SPEC / support.
• [Official standard] AIPackage / SPDX Specification 3.0.1 / accessed 2026-09-14 / https://spdx.github.io/spdx-spec/v3.0.1/model/AI/Classes/AIPackage/ / locator: AI application or trained AI model metadata / VERIFIED_SPEC / support.
• [Official standard] DatasetPackage / SPDX Specification 3.0.1 / accessed 2026-09-14 / https://spdx.github.io/spdx-spec/v3.0.1/model/Dataset/Classes/DatasetPackage/ / locator: training/testing dataset metadata including collection, preprocessing, confidentiality, sensitive personal information, intended use / VERIFIED_SPEC / support.
• [Official working-group status] Profiles overview / SPDX AI Working Group / updated 2026-03-08; accessed 2026-09-14 / https://spdxai.github.io/profiles/ / locator: SPDX 3.0 AI/Dataset profiles are stable; 3.1-RC1 is work-in-progress / VERIFIED_SPEC / context+limit.
• [Official standard/spec] CycloneDX Specification Overview / OWASP Foundation + Ecma International / ECMA-424, published 2025-12-10; accessed 2026-09-14 / https://cyclonedx.org/specification/overview/ / locator: BOM object model covers components and lifecycle/system transparency / VERIFIED_SPEC / support.
• [Official release/spec] CycloneDX specification release history / OWASP CycloneDX / current v1.7 released 2025-10-21; accessed 2026-09-14 / https://github.com/CycloneDX/specification / locator: v1.7 current release and AI/ML-BOM support / VERIFIED_SPEC + OSS_PRACTICE / support.
• [Official v1.7 reference] CycloneDX v1.7 Protobuf Reference / OWASP CycloneDX / v1.7; accessed 2026-09-14 / https://cyclonedx.org/docs/1.7/proto/ / locator: ModelCard for machine-learning-model, intended uses/limitations, training parameters, datasets, performance metrics; lifecycle/operations inventory concepts / VERIFIED_SPEC / support.
• [Project definition, lower authority than formal specs] AI Bill of Materials Project / OWASP / current, accessed 2026-09-14 / https://owaspaibom.org/ / locator: AIBOM described as machine-readable inventory including models, datasets, agents, tools, guardrails, runtime elements and provenance/rights/integrity/evaluation / SOURCE_REPORT / context.

• AI-BOMは構想だけではない。SPDX 3.0.1にはstable AI ProfileとDataset Profileがあり、AIPackage/DatasetPackageとしてmodel/applicationとdataset固有情報を表現できる。SPDX AI WGでは3.1-RC1はWIPであり、future claimとして混同しない。
• CycloneDXは2026-09-14時点でv1.7がcurrent release。machine-learning-model向けModelCardにintended use、limitations、training parameters、datasets、performance metrics等を記述でき、full-stack BOMの一部としてAI/MLを扱える。
• ただし「AI-SBOM標準が存在する」ことと「企業のAI asset inventoryが完全である」ことは別。台帳が求めるmodel、API、prompt、dataset、tool、OSS、MCP等のうち、model/dataset/software/serviceは標準BOMへ比較的自然に写せるが、prompt template/version、hosted modelのopaque revision、agent policy、MCP server/tool schema、provider tenant setting、RAG corpus snapshot、evaluation/guardrail config等は標準の専用first-class primitiveが不足または実装依存になり得る。
• 将来のEnterprise AI Coreでは、BOM documentとRuntime Asset Registryを二層化するのが安全。BOMはmachine-readable supply-chain snapshot、Registryはowner、business purpose、environment、endpoint/tenant、approval state、data classification、deployment status、last-seen、runtime dependency、decommission state等を継続管理する。
• 最小dependency graph候補: AI application/agent → provider/model/deployment → prompt/template → tool/MCP/API → software/runtime/container → retrieval/vector store → dataset/corpus → evaluator/guardrail/policy。各nodeにstable local IDを与え、外部標準identifier/hash/PURL等が存在する場合は併記する。
• InventoryはEA-057 Shadow AI discoveryの受け皿でもある。discoveryで見つかったassetを即「承認済み」とせず、discovered/declared/verified/approved/retired等のstateを分離する。

• SPDX/CycloneDXが表現可能でも、自動生成toolが全AI dependencyを検出できるとは限らない。特にprompt、browser/desktop agent、dynamic MCP/tool discovery、provider-side model routing、runtime-generated codeは静的scanから漏れる。
• SaaS/hosted modelではweight hash、training dataset、exact backend revisionが非公開の場合がある。UNKNOWNを推測で埋めない。
• model nameだけではasset identityとして弱い。provider、endpoint/deployment、region、API revision、observed model ID、effective date等を併記できる設計が必要。
• BOMはpoint-in-time snapshotになりやすい。runtime routing/fallbackやdynamic agent dependencyを反映しないまま陳腐化するfailure envelopeがある。
• OWASP AIBOM projectの広い定義をSPDX/CycloneDXの必須schema項目と同一視しない。

• SPDX 3.0.1 AI/Dataset Profileはstable spec。SPDX 3.1-RC1はWIPでありcurrent stableとして扱わない。
• CycloneDX v1.7は現行releaseだが、生成・ingestion toolingがv1.7のAI/ML fieldsを完全対応するかは製品ごとに再確認が必要。
• Provider-hosted model/dataset provenanceの開示可能範囲はprovider・契約・region・modelごとに異なる。

Standards available, enterprise completeness not solved。SPDX 3.0.1とCycloneDX 1.7にAI/ML表現が存在するため「AI-BOMは未標準化」とは書けない。一方、prompt/MCP/tool/policy/provider-runtimeを含むEnterprise AI operational inventoryの完全な共通schemaは今回確認できず、Core拡張が必要。

Inventory completenessの普遍benchmarkは今回確認できずUNKNOWN。後続Work用TEST_PROFILE（未実施・PROPOSAL）: 既知fixtureとしてmodel/API/prompt/dataset/tool/MCP/OSS/RAG/evaluator/guardrailを配置し、各scanner/registry方式についてasset recall、dependency-edge recall、version fidelity、unknown-field率、stale detection time、false merge率を測定する。BOM schema conformanceとdiscovery completenessを別metricにする。

Security: asset inventory自体が攻撃者に有用なarchitecture mapとなるためleast privilege、export control、tamper evidenceが必要。 Privacy: dataset metadataやprompt/corpus名称だけでもsensitive business informationを露出し得る。inventoryにraw dataを複製せずreference/hash/classification中心とする。 Audit: BOM serial/version、generation tool、generated-at、source-of-truth、approver、change reasonを保持。Runtime discovery由来かdeclared由来かoriginも保持する。 Cost: full continuous discoveryはlog/API/CMDB連携コストを伴うためcritical asset優先度を設定可能。ただし未観測assetを「存在しない」と扱わない。 Operability: BOM生成をCI/CD・model promotionへ接続し、runtime registryはdeployment/change/decommissionと同期する方向が実用的。

「AI Asset Inventoryでは、SPDXやCycloneDXのAI/ML対応BOMを供給網の機械可読スナップショットとして利用できる。ただし、それだけで企業内のAI利用を完全に棚卸しできるわけではない。prompt、外部API、MCP/tool、RAG corpus、provider-side deploymentなど、実行時に変化する依存をRuntime Asset Registryで補完し、UNKNOWNを明示したまま継続更新する必要がある。」

EA-055 Forensicsではrun provenanceをasset IDへ接続し、incident時に「どのversion/dependencyが使われたか」を逆引きできるようにする。EA-057 Shadow AI発見編ではdiscovery sourceをinventoryへ流入させるが、approval stateを分ける。将来provider mappingではmodel/deployment ID、API revision、region、retirement/deprecation情報の取得可能性を再確認する。

OPEN: prompt/MCP/agent-policyの標準化されたBOM表現、主要toolingのCycloneDX 1.7/SPDX 3.0.1 AI profile実装成熟度、hosted model exact revision/provenanceのprovider別取得性、cross-format mapping fidelity。STOP: 主要BOM標準と主要provider inventory APIのmappingが確定し、runtime registryの共通最小schemaを定義できた時点で再採集。

---

SPDX 3.0.1 AI/Dataset profiles remain stable while SPDX 3.1-RC1 is work in progress. CycloneDX normative specification line is 1.7 and current published GitHub release is 1.7.1; tracked 1.7.2 maintenance is not treated as a newer published release.