本文へスキップ

AI運用の判断と根拠を引く

Enterprise AI運用辞典

トップへ戻る

AIサプライチェーン・セキュリティ

用語・参照用語・参照公式仕様のみ公式仕様のみ鮮度未確認鮮度を確定できない

記事状態: 公開 · 最終確認: 未確認

要点

「SLSAは出典・来歴とattestationの表現・検証を支えるが、成果物の安全性や品質を単独では保証しない。OpenSSF Scorecardは対象OSS repositoryの時点別check結果であり、全展開の保証ではない。」

現在の判断

SLSAは出典・来歴/attestationと段階的なsecurity guaranteeを表現し、SSDFはsecure software developmentの推奨枠組み、ScorecardはOSS repositoryの具体的check群を提供する。AI supply chainでは出典→生成・構築→成果物→distribution→実行環境を別証跡にし、モデル weights/MCP/Skillにも同じ出所・hash・署名・権限審査を適用するのが妥当。ただしこれは設計推論であり、3資料がAI固有の安全を保証するわけではない。

どこまで当てはまるか

エンタープライズAIコア / サプライチェーン・セキュリティ / OSSプラクティス / 監査

詳しく理解する

なぜ重要か

モデル、package、container、MCP server、Skillの供給網を「OSSだから安全」「registry掲載だから承認済み」と扱うと、改ざん・出所・依存関係・実行権限の差を落とす。

対象範囲と前提

エンタープライズAIコア / サプライチェーン・セキュリティ / OSSプラクティス / 監査

検討ポイント

SLSA、NIST SSDF、OpenSSF Scorecardは、AI 成果物供給網で何を証明し、何を証明しないか。

根拠資料の対応表

  • 資料の種類: supply-chain specification; 原資料の題名: SLSA specification; 著者・組織: SLSA / OpenSSF ecosystem; 原資料の正式なURL: https://slsa.dev/spec/v1.2/ publication/update/access: 参照日 2026-09-13; バージョン/公開・提供: SLSA v1.2; 裏付ける該当箇所: lines 52, 69-76, 92-101（levels/tracks、成果物 traceability、出典・来歴、verification、attestation formats）; 根拠の分類: VERIFIED_SPEC; 対応関係: 裏付け / limit。
  • 資料の種類: government secure-development framework; 原資料の題名: Secure Software Development Framework (SSDF) バージョン 1.1; 著者・組織: NIST, Murugiah Souppaya, Karen Scarfone, Donna Dodson; 原資料の正式なURL: https://csrc.nist.gov/pubs/sp/800/218/final publication/update/access: 2022-02 / 参照日 2026-09-13; バージョン/公開・提供: SP 800-218 v1.1; 裏付ける該当箇所: lines 64-74（title, date, authors）; 根拠の分類: VERIFIED_SPEC; 対応関係: 裏付け / 文脈・入力情報。
  • 資料の種類: author-maintained OSS 実装; 原資料の題名: OpenSSF Scorecard; 著者・組織: OpenSSF; 原資料の正式なURL: https://github.com/ossf/scorecard publication/update/access: 現在の repository 参照日 2026-09-13; バージョン/公開・提供: repository checks; 裏付ける該当箇所: README lines 598-625（checks）、656-665（weighted aggregate score）; 根拠の分類: OSS_PRACTICE + PRODUCT_VOLATILE; 対応関係: 裏付け / limit。

利用できる条件

成果物 type、出典 repository、公開・提供/tag/commit、digest、builder、出典・来歴、signature/certificate、license、vulnerability、実行環境 permissions、MCP/Skill ツール 適用範囲。

実装・運用

実装状態: allowlist、ダイジェストの固定（digest pin）、出典・来歴の検証、SBOM/ライセンス/脆弱性レビューを受け入れガードの候補として確立。実際の成果物の検証は未実施。

確認・評価方法

評価: 無認証のfixture repository/成果物で、digest変更、署名不一致、dependency drift、危険な処理の流れを検出するTEST_PROFILEを設計。実運用registry変更はしない。

セキュリティとプライバシー

SECURITY/監査: 出典・来歴とreview resultを成果物 IDに紐付け。PRIVACY: モデル/skill 付随情報の秘匿範囲を区別。COST: signing/生成・構築 verificationの工数は未計測。OPERABILITY: allow/deny/exceptionとexpiryを記録。

現行性の確認範囲と限界

SLSA v1.2 remains 現在の approved spec; NIST SSDF and OpenSSF Scorecard are distinct 根拠 classes and Scorecard is not an artifact-safety certificate.

確認できていること

  • SLSAは出典・来歴/attestationと段階的なsecurity guaranteeを表現し、SSDFはsecure software developmentの推奨枠組み、ScorecardはOSS repositoryの具体的check群を提供する。AI supply chainでは出典→生成・構築→成果物→distribution→実行環境を別証跡にし、モデル weights/MCP/Skillにも同じ出所・hash・署名・権限審査を適用するのが妥当。ただしこれは設計推論であり、3資料がAI固有の安全を保証するわけではない。

よくある失敗・反証

  • SLSA 出典・来歴は出所/ビルド性質の証拠で、成果物が無害・高品質とは限らない。Scorecardのscoreは対象repo・実行時点・check設定依存で、全バージョン/全配備へ一般化できない。

  • registry掲載、latest、scoreだけで受入承認しない。 UNIT_CLOSE_STATUS: INDIVIDUAL_BOUNDED_CLOSE / EVIDENCE_RECORDED / UNKNOWN_PRESERVED

    ---

実務での使い方

  • 成果物 type、出典 repository、公開・提供/tag/commit、digest、builder、出典・来歴、signature/certificate、license、vulnerability、実行環境 permissions、MCP/Skill ツール 適用範囲。

  • 実装状態: allowlist、ダイジェストの固定（digest pin）、出典・来歴の検証、SBOM/ライセンス/脆弱性レビューを受け入れガードの候補として確立。実際の成果物の検証は未実施。

  • 評価: 無認証のfixture repository/成果物で、digest変更、署名不一致、dependency drift、危険な処理の流れを検出するTEST_PROFILEを設計。実運用registry変更はしない。

  • SECURITY/監査: 出典・来歴とreview resultを成果物 IDに紐付け。PRIVACY: モデル/skill 付随情報の秘匿範囲を区別。COST: signing/生成・構築 verificationの工数は未計測。OPERABILITY: allow/deny/exceptionとexpiryを記録。

  • 本文は供給網をモデル/package/container/MCP/Skillごとに、出典・digest・生成・構築 出典・来歴・signature・license・実行環境 権限の列へ分解する。

  • SLSA v1.2 remains 現在の approved spec; NIST SSDF and OpenSSF Scorecard are distinct 根拠 classes and Scorecard is not an artifact-safety certificate.

まだ確認できていないこと

  • EA-104-UNKNOWN-01

    モデル weight 出典・来歴、MCP/Skillの標準的署名・失効、非公開 registry mirror、GPU/containerの実測chain、提供元 提供元が管理する モデルの証明範囲。

  • EA-104-UNKNOWN-CURRENTNESS

    外部根拠の再確認日が正式な本文・公開管理情報で確定していないため、現行性は未確認のまま保持する。確認日を推測して補わない。

根拠資料

出典ID・検証情報・機械可読データ

根拠の種類と情報の鮮度は、ラベルとアイコンで確認できます。

記事ID
EA-104
最終確認日
—
提供元・モデル・プラン・利用環境
—
対象地域
—
元資料の全文と収録照合記録
WHY_THIS_MATTERS_TO_UPDATE

model、package、container、MCP server、Skillの供給網を「OSSだから安全」「registry掲載だから承認済み」と扱うと、改ざん・出所・依存関係・実行権限の差を落とす。

SCOPE_ROUTING

Enterprise AI Core / supply-chain security / OSS practice / audit

CLAIM_OR_RESEARCH_QUESTION

SLSA、NIST SSDF、OpenSSF Scorecardは、AI artifact供給網で何を証明し、何を証明しないか。

EVIDENCE TABLE
  • source class: supply-chain specification; exact title: SLSA specification; author/org: SLSA / OpenSSF ecosystem; canonical URL: https://slsa.dev/spec/v1.2/ publication/update/access: accessed 2026-09-13; version/release: SLSA v1.2; supporting locator: lines 52, 69-76, 92-101（levels/tracks、artifact traceability、provenance、verification、attestation formats）; evidence label: VERIFIED_SPEC; relation: support / limit。
  • source class: government secure-development framework; exact title: Secure Software Development Framework (SSDF) Version 1.1; author/org: NIST, Murugiah Souppaya, Karen Scarfone, Donna Dodson; canonical URL: https://csrc.nist.gov/pubs/sp/800/218/final publication/update/access: 2022-02 / accessed 2026-09-13; version/release: SP 800-218 v1.1; supporting locator: lines 64-74（title, date, authors）; evidence label: VERIFIED_SPEC; relation: support / context。
  • source class: author-maintained OSS implementation; exact title: OpenSSF Scorecard; author/org: OpenSSF; canonical URL: https://github.com/ossf/scorecard publication/update/access: current repository accessed 2026-09-13; version/release: repository checks; supporting locator: README lines 598-625（checks）、656-665（weighted aggregate score）; evidence label: OSS_PRACTICE + PRODUCT_VOLATILE; relation: support / limit。
FINDINGS

SLSAはprovenance/attestationと段階的なsecurity guaranteeを表現し、SSDFはsecure software developmentの推奨枠組み、ScorecardはOSS repositoryの具体的check群を提供する。AI supply chainではsource→build→artifact→distribution→runtimeを別証跡にし、model weights/MCP/Skillにも同じ出所・hash・署名・権限審査を適用するのが妥当。ただしこれは設計推論であり、3資料がAI固有の安全を保証するわけではない。

LIMITS / COUNTEREVIDENCE / FAILURE ENVELOPE

SLSA provenanceは出所/ビルド性質の証拠で、artifactが無害・高品質とは限らない。Scorecardのscoreは対象repo・実行時点・check設定依存で、全version/全deploymentへ一般化できない。

AVAILABILITY_GATES

artifact type、source repository、release/tag/commit、digest、builder、provenance、signature/certificate、license、vulnerability、runtime permissions、MCP/Skill tool scope。

IMPLEMENTATION_STATE

実装状態: allowlist、digest pin、provenance verification、SBOM/license/vulnerability reviewを受入ガード候補として確立。実artifactの検証は未実施。

BENCHMARK_OR_EVAL

Evaluation: 無認証のfixture repository/artifactで、digest変更、署名不一致、dependency drift、危険なworkflowを検出するTEST_PROFILEを設計。実運用registry変更はしない。

SECURITY / PRIVACY / AUDIT / COST / OPERABILITY

SECURITY/AUDIT: provenanceとreview resultをartifact IDに紐付け。PRIVACY: model/skill metadataの秘匿範囲を区別。COST: signing/build verificationの工数は未計測。OPERABILITY: allow/deny/exceptionとexpiryを記録。

SAFE_WORDING_FOR_FUTURE_BOOK

「SLSAはprovenanceとattestationの表現・検証を支えるが、artifactの安全性や品質を単独では保証しない。OpenSSF Scorecardは対象OSS repositoryの時点別check結果であり、全展開の保証ではない。」

UPDATE_WORK_HANDOFF

本文は供給網をmodel/package/container/MCP/Skillごとに、source・digest・build provenance・signature・license・runtime permissionの列へ分解する。

OPEN_UNKNOWN

model weight provenance、MCP/Skillの標準的署名・失効、private registry mirror、GPU/containerの実測chain、provider hosted modelの証明範囲。

STOP_CONDITION

registry掲載、latest、scoreだけで受入承認しない。 UNIT_CLOSE_STATUS: INDIVIDUAL_BOUNDED_CLOSE / EVIDENCE_RECORDED / UNKNOWN_PRESERVED

---

AUDITED_CURRENTNESS_BOUNDARY

SLSA v1.2 remains current approved spec; NIST SSDF and OpenSSF Scorecard are distinct evidence classes and Scorecard is not an artifact-safety certificate.

  • EVD-EA-104-URL-BFAC836A083D研究資料研究資料根拠の出所: SOURCE_PACKET_REFERENCE

    1) source class: supply-chain specification; exact title: SLSA specification; author/org: SLSA / OpenSSF ecosystem; canonical URL:

    裏付ける内容
    —
    確認日
    —
    出典・実験ID
    SRC-EA-104-URL-BFAC836A083D
    検証箇所
    EVIDENCE TABLE · 1) source class: supply-chain specification; exact title: SLSA specification; author/org: SLSA / OpenSSF ecosystem; canonical URL: https://slsa.dev/spec/v1.2/
    適用範囲
    EVIDENCE TABLE
    出典・来歴
    SOURCE_PACKET_REFERENCE_PROJECTED
    限界
    元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。
  • EVD-EA-104-URL-3382974F730F研究資料研究資料根拠の出所: SOURCE_PACKET_REFERENCE

    2) source class: government secure-development framework; exact title: Secure Software Development Framework (SSDF) Version 1.1; author/org: NIST, Murugiah Souppaya, Karen Scarfone

    裏付ける内容
    —
    確認日
    —
    出典・実験ID
    SRC-EA-104-URL-3382974F730F
    検証箇所
    EVIDENCE TABLE · 2) source class: government secure-development framework; exact title: Secure Software Development Framework (SSDF) Version 1.1; author/org: NIST, Murugiah Souppaya, Karen Scarfone, Donna Dodson; canonical URL: https://csrc.nist.gov/pubs/sp/800/218/final
    適用範囲
    EVIDENCE TABLE
    出典・来歴
    SOURCE_PACKET_REFERENCE_PROJECTED
    限界
    元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。
  • EVD-EA-104-URL-9719D15362F8研究資料研究資料根拠の出所: SOURCE_PACKET_REFERENCE

    3) source class: author-maintained OSS implementation; exact title: OpenSSF Scorecard; author/org: OpenSSF; canonical URL:

    裏付ける内容
    —
    確認日
    —
    出典・実験ID
    SRC-EA-104-URL-9719D15362F8
    検証箇所
    EVIDENCE TABLE · 3) source class: author-maintained OSS implementation; exact title: OpenSSF Scorecard; author/org: OpenSSF; canonical URL: https://github.com/ossf/scorecard
    適用範囲
    EVIDENCE TABLE
    出典・来歴
    SOURCE_PACKET_REFERENCE_PROJECTED
    限界
    元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。
  • EA-104-R11-RESEARCH研究資料研究資料根拠の出所: AUDITED_CANONICAL_RESEARCH_PACKET

    EA-104 監査済みresearch / canonical revision binding

    裏付ける内容
    SLSAはprovenance/attestationと段階的なsecurity guaranteeを表現し、SSDFはsecure software developmentの推奨枠組み、ScorecardはOSS repositoryの具体的check群を提供する。AI supply chainではsource→build→artifact→distribution→runtimeを別証跡にし、model weights/MCP/Skillにも同じ出所・hash・署名・権限審査を適用するのが妥当。ただしこれは設計推論であり、3資料がAI固有の安全を保証するわけではない。
    確認日
    —
    出典・実験ID
    COMM-039-EA0104
    検証箇所
    COMM-039-EA0104 · EA-104-R5-LEGACY-MIGRATION-20261008-R1 · content/staging/EA-104.md
    適用範囲
    監査済みEA本文・canonical revision・既存Source Graph relationの範囲。欠損currentnessは推測で閉じない。
    出典・来歴
    AUDIT_PASS_CANONICAL_BINDING
    限界
    canonical監査・revision bindingの存在を示す。外部ソースcurrentnessが本文またはcontrol-planeで確定していない場合は、currentnessをUNKNOWNのまま保持する。
  • EA-104-R11-WEB-READBACK実装資料実装資料根拠の出所: IMPLEMENTATION_READBACK

    EA-104 Web body identity / canonical readback

    裏付ける内容
    canonical staging bodyのSHA-256一致とR9 canonical ledger readbackをProduction projectionの入力として検証する。
    確認日
    —
    出典・実験ID
    WEBBODY-EA0104-R8-B3BA4A49
    検証箇所
    WEBBODY-EA0104-R8-B3BA4A49 · content/staging/EA-104.md · EA-104-R5-LEGACY-MIGRATION-20261008-R1
    適用範囲
    R9/R10 canonical readback後のProduction生成時body identity。
    出典・来歴
    CANONICAL_READBACK_BODY_HASH_MATCH
    限界
    body identity/readbackは本文claim自体の真偽や外部ソースの最新性を追加保証しない。
出典ID
COMM-039-EA0104, SRC-EA-104-URL-BFAC836A083D, SRC-EA-104-URL-3382974F730F, SRC-EA-104-URL-9719D15362F8, WEBBODY-EA0104-R8-B3BA4A49
追跡中のUNKNOWN ID
EA-104-UNKNOWN-01, EA-104-UNKNOWN-CURRENTNESS
再確認のきっかけ
正式な 改訂版/publication 状態 change · 本文 成果物 hash change · 出典 現行性 change · new contradiction or 実装 結果の照合

機械検査: 通過 — 機械検査の結果です。情報の正確性や実行の承認を保証するものではありません。

    同じ記事IDの機械可読データです。