Yapay zekâ uygulaması yalnızca bir model dosyasından oluşmaz. Veri kümeleri, ön işleme kodu, açık kaynak kütüphaneleri, model sağlayıcısı, API hizmetleri ve çalışma ortamı birlikte ürünün davranışını belirler.
AIBOM, bu bileşenleri görünür hâle getirerek güvenlik açığı, lisans, model kökeni ve değişiklik yönetimi için ortak bir kayıt oluşturmayı amaçlar.
Aibom Nedir: Hızlı Bakış
| Kontrol alanı | Temel amaç |
|---|---|
| Model Kimliğini ve Sürümünü Kaydedin | Her modelin adı, sağlayıcısı, sürümü, yayın tarihi ve kullanım amacı belirlenmelidir. |
| Model Dosyası Bütünlüğünü Doğrulayın | Ağırlık ve paket dosyaları için güvenilir hash değerleri ve imza bilgileri saklayın. |
| Veri Kümelerini Tanımlayın | Eğitim, ince ayar ve değerlendirme veri kümelerinin kaynağını, lisansını ve kullanım kısıtlarını kaydedin. |
| Kütüphane ve Çalışma Ortamını Ekleyin | Framework, hızlandırıcı, işletim sistemi ve kritik bağımlılık sürümlerini belirtin. |
| Lisansları Birlikte Yönetin | Model, veri ve yazılım lisanslarının ticari kullanım, yeniden dağıtım ve atıf koşullarını kontrol edin. |
| Haricî AI API’lerini Listeleyin | Sistem dış sağlayıcıya veri gönderiyorsa hizmet adı, veri türü ve sözleşme kapsamını kaydedin. |
AIBOM Nedir ve SBOM’dan Nasıl Ayrılır?
AI Bill of Materials, bir yapay zekâ sistemini oluşturan model, veri, yazılım, yapılandırma ve hizmet bileşenlerini yapılandırılmış biçimde kaydeden envanter yaklaşımıdır.
Klasik SBOM yazılım paketlerine odaklanırken AIBOM; model sürümü, model sağlayıcısı, veri kümesi tanımlayıcıları, ağırlık hash değeri, lisans ve değerlendirme bilgileri gibi yapay zekâya özgü alanları da içerebilir.
Aibom Nedir: 10 Kritik Adım
1. Model Kimliğini ve Sürümünü Kaydedin
Her modelin adı, sağlayıcısı, sürümü, yayın tarihi ve kullanım amacı belirlenmelidir.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
2. Model Dosyası Bütünlüğünü Doğrulayın
Ağırlık ve paket dosyaları için güvenilir hash değerleri ve imza bilgileri saklayın.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
3. Veri Kümelerini Tanımlayın
Eğitim, ince ayar ve değerlendirme veri kümelerinin kaynağını, lisansını ve kullanım kısıtlarını kaydedin.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
4. Kütüphane ve Çalışma Ortamını Ekleyin
Framework, hızlandırıcı, işletim sistemi ve kritik bağımlılık sürümlerini belirtin.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
5. Lisansları Birlikte Yönetin
Model, veri ve yazılım lisanslarının ticari kullanım, yeniden dağıtım ve atıf koşullarını kontrol edin.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
6. Haricî AI API’lerini Listeleyin
Sistem dış sağlayıcıya veri gönderiyorsa hizmet adı, veri türü ve sözleşme kapsamını kaydedin.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
7. Güvenlik Değerlendirmelerini Bağlayın
Red Team, güvenlik testi, model kartı ve risk değerlendirmesi sonuçlarını ilgili sürümle ilişkilendirin.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
8. Her Sürümde Güncelleyin
Model veya veri değiştiğinde aynı AIBOM belgesini değiştirmek yerine sürümlü kayıt oluşturun.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
9. Erişim Kontrolü Uygulayın
Hassas veri kaynağı ve iç model ayrıntılarını yalnızca yetkili kişilerle paylaşın.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
10. SBOM ve AIBOM’u Birleştirin
Yapay zekâ bileşenlerini yazılım tedarik zinciri envanteriyle ilişkilendirerek uçtan uca görünürlük sağlayın.
Bu adımı uygularken kurumun veya ürünün gerçek ihtiyaçlarını, erişim modelini ve risk seviyesini dikkate alın. Kararı belgelemek ve sonucu düzenli olarak yeniden doğrulamak, tek seferlik kurulumdan daha güvenli bir yaklaşım sağlar.
Uygulama Yol Haritası
- Mevcut varlıkları, kimlikleri, veri akışlarını ve sorumluları envantere alın.
- İş açısından kritik senaryoları ve kabul edilemez riskleri belirleyin.
- Küçük bir pilot kapsam seçerek kontrolleri ölçülebilir biçimde uygulayın.
- Günlük kayıtları, uyarıları ve düzeltme görevlerini ortak iş akışına bağlayın.
- Başarıyı yalnızca bulunan hata sayısıyla değil, azaltılan gerçek riskle ölçün.
- Yeni sürüm, entegrasyon veya mimari değişiklik sonrasında kontrolleri yeniden doğrulayın.
Sık Yapılan Hatalar
- Sadece model adını kaydetmek
- Veri kümesi lisansını belirsiz bırakmak
- Ağırlık dosyasının hash değerini tutmamak
- Haricî AI API hizmetini envantere eklememek
- Her sürümde belgeyi güncellememek
- AIBOM’u güvenlik testi yerine görmek
Aibom Nedir: Sık Sorulan Sorular
AIBOM açılımı nedir?
AI Bill of Materials ifadesinin kısaltmasıdır ve yapay zekâ bileşen envanteri anlamında kullanılır.
AIBOM ile SBOM aynı mı?
Tam olarak değil. AIBOM, SBOM alanlarına ek olarak model, veri kümesi ve AI değerlendirme bilgilerini ele alabilir.
AIBOM modelin güvenli olduğunu kanıtlar mı?
Hayır. Görünürlük sağlar; güvenlik testi, veri koruma ve model değerlendirmesi ayrıca yapılmalıdır.
AIBOM hangi formatta hazırlanır?
Kuruluşlar CycloneDX gibi genişletilebilir standartlardan veya yapılandırılmış kurumsal şemalardan yararlanabilir.
Her model sürümü için ayrı AIBOM gerekir mi?
Evet. Model, veri veya çalışma ortamı değiştiğinde sürümle ilişkilendirilmiş yeni kayıt oluşturmak daha izlenebilirdir.
İlgili İçerikler
SBOM nedir Shadow AI nedir AI Red Teaming
Resmî ve Güvenilir Kaynaklar
CISA Software Bill of Materials for AI Minimum Elements
CycloneDX AI and Machine Learning BOM
Sonuç
AIBOM nedir yaklaşımı, yalnızca yeni bir ürün satın almak veya bir özelliği etkinleştirmek değildir. Envanter, en az ayrıcalık, kısa ömürlü kimlik bilgileri, doğrulama, görünürlük ve düzenli denetim birlikte uygulanmalıdır.
Başarılı sonuç için küçük bir kapsamla başlayın, sorumluları belirleyin ve her değişiklikten sonra kontrolleri tekrar test edin. Böylece AIBOM nedir konusu teorik bir güvenlik başlığından ölçülebilir bir risk azaltma programına dönüşebilir.
