AI Bill of Materials: guía CycloneDX frente a SPDX
Una AI Bill of Materials es un inventario legible por máquinas del software, modelos, datasets, servicios, licencias, procedencia y relaciones de un sistema de IA. Elige CycloneDX si predominan seguridad de producto y procesos SBOM. Elige SPDX si predominan procedencia detallada, licencias y grafos de artefactos.
Una AIBOM es infraestructura de evidencia, no un sello. Debe mostrar qué modelo y dataset afectaron un release y qué despliegues reaccionan ante cambios.
¿CycloneDX o SPDX?
| Factor | CycloneDX | SPDX |
|---|---|---|
| Orientación | Seguridad de producto y BOM | Procedencia, licencias y relaciones |
| Representación IA | ML-BOM para modelos y datos | Perfil AI combinable con otros |
| Encaje | Pipeline CycloneDX y vulnerabilidades | Pipeline SPDX, legal o research |
¿Qué debe registrar?
Empieza por identidad y versión estables; añade modelo base, adapters, prompts relevantes, datos, runtime, retrieval, APIs, licencias, hashes, proveedores, evaluaciones y despliegues.
- Hashes inmutables, no nombres como latest.
- Distinguir trained-on, fine-tuned-with, evaluated-on, retrieved-from y served-by.
- Proteger detalles sensibles y exponer referencias seguras.
- Unir cada despliegue a su revisión AIBOM.
¿Cómo evitar lock-in?
Define un esquema interno neutral para identidad, procedencia, relaciones, licencias, evaluaciones y despliegues. Genera el estándar externo desde esa fuente única.
- Prototipar el artefacto más complejo.
- Validar con esquemas oficiales.
- Comprobar si se pierden campos decisivos al convertir.
¿Dónde se genera?
Genera y firma después de inmovilizar artefactos y antes de aprobar despliegue. Enriquece desde registries, catálogos, scanners, evaluaciones y manifiestos.
- Bloquear releases sin identidad, licencia aprobada o evaluación.
- Separar versión de cliente e interna.
- Activar análisis de impacto ante advisories.
Piloto en dos sprints
- Inventariar una función IA desplegada.
- Definir IDs, relaciones, niveles y responsables.
- Representarla en CycloneDX y SPDX y comparar.
- Elegir formato externo con modelo interno neutral.
- Generar, validar, firmar y adjuntar al release.
- Ensayar un incidente upstream y medir impacto.
Ayuda para IA en producción
Si estás construyendo un producto de IA y te preocupan el coste de inferencia, la arquitectura o la preparación para producción, Wavect ayuda a fundadores a convertir prototipos de IA en sistemas fiables.
Ruta de servicio:
Preguntas sobre AIBOM
¿Es igual que una SBOM?
¿CycloneDX soporta ML-BOM?
¿SPDX soporta artefactos IA?
¿El cliente recibe todo?
Reflexiones finales
Elige el formato que tus usuarios puedan operar, pero conserva un único grafo interno. El éxito es un análisis de impacto más rápido, no solo JSON válido.
Fuentes primarias
- OWASP CycloneDX ML-BOM. Cobertura oficial
- Perfiles SPDX 3. Resumen oficial
- Especificaciones SPDX. Recursos actuales