En este artículo
AI Bill of Materials: guía CycloneDX frente a SPDX
Una AI Bill of Materials es un inventario legible por máquinas del software, modelos, datasets, servicios, licencias, procedencia y relaciones de un sistema de IA. Elige CycloneDX si predominan seguridad de producto y procesos SBOM. Elige SPDX si predominan procedencia detallada, licencias y grafos de artefactos.
Una AIBOM es infraestructura de evidencia, no un sello. Debe mostrar qué modelo y dataset afectaron un release y qué despliegues reaccionan ante cambios.
¿CycloneDX o SPDX?
| Factor | CycloneDX | SPDX |
|---|---|---|
| Orientación | Seguridad de producto y BOM | Procedencia, licencias y relaciones |
| Representación IA | ML-BOM para modelos y datos | Perfil AI combinable con otros |
| Encaje | Pipeline CycloneDX y vulnerabilidades | Pipeline SPDX, legal o research |
¿Qué debe registrar?
Empieza por identidad y versión estables; añade modelo base, adapters, prompts relevantes, datos, runtime, retrieval, APIs, licencias, hashes, proveedores, evaluaciones y despliegues.
- Hashes inmutables, no nombres como latest.
- Distinguir trained-on, fine-tuned-with, evaluated-on, retrieved-from y served-by.
- Proteger detalles sensibles y exponer referencias seguras.
- Unir cada despliegue a su revisión AIBOM.
¿Cómo evitar lock-in?
Define un esquema interno neutral para identidad, procedencia, relaciones, licencias, evaluaciones y despliegues. Genera el estándar externo desde esa fuente única.
- Prototipar el artefacto más complejo.
- Validar con esquemas oficiales.
- Comprobar si se pierden campos decisivos al convertir.
¿Dónde se genera?
Genera y firma después de inmovilizar artefactos y antes de aprobar despliegue. Enriquece desde registries, catálogos, scanners, evaluaciones y manifiestos.
- Bloquear releases sin identidad, licencia aprobada o evaluación.
- Separar versión de cliente e interna.
- Activar análisis de impacto ante advisories.
Piloto en dos sprints
- Inventariar una función IA desplegada.
- Definir IDs, relaciones, niveles y responsables.
- Representarla en CycloneDX y SPDX y comparar.
- Elegir formato externo con modelo interno neutral.
- Generar, validar, firmar y adjuntar al release.
- Ensayar un incidente upstream y medir impacto.
Ayuda para IA en producción
¿Evalúas IA para un flujo interno? Empieza con una evaluación acotada de tareas, acceso a datos, calidad, latencia y coste operativo. Wavect ayuda a tu equipo a decidir si adoptar, ajustar o detener un piloto.
Ruta de servicio:
Preguntas sobre AIBOM
¿Es igual que una SBOM?
¿CycloneDX soporta ML-BOM?
¿SPDX soporta artefactos IA?
¿El cliente recibe todo?
Reflexiones finales
Elige el formato que tus usuarios puedan operar, pero conserva un único grafo interno. El éxito es un análisis de impacto más rápido, no solo JSON válido.
Fuentes primarias
- OWASP CycloneDX ML-BOM. Cobertura oficial
- Perfiles SPDX 3. Resumen oficial
- Especificaciones SPDX. Recursos actuales