AI供应链安全（2）：把构成说清——AIBOM与供应链治理

锦岳智慧

2026年10月18日 09:00
北京

去阅读

在上一篇文章里，我们讨论了如何把智能体资产“看见”，可以知道组织里到底有多少个智能体在跑。但数量只是开始，当安全团队拿到一份写着“一百二十个智能体”的台账时，紧接着会被问到第二个问题：这些智能体分别用了哪个模型、接了哪些工具、读了哪些知识库、调了哪些外部服务？

这个问题在风平浪静时显得琐碎，在某个 MCP 组件曝出漏洞、某个模型被通报存在后门、某个开源库被投毒的那一刻，会立刻变成最紧急的问题——因为此时需要的不是“有多少资产可能受影响”这个数字，而是“受影响的是哪几个、能不能立刻摘除”这份名单。

1AIBOM 和智能体资产台账的关系

资产台账回答的是“有哪些智能体”，AIBOM 回答的是“每个智能体由什么构成”。前者是数量问题，后者是构成问题。前者追求“全”，后者追求“深”。AIBOM 与资产台账也不是两套独立数据，而是通过资产唯一标识建立双向关联：台账提供资产的业务属性、责任人与状态，清单提供资产的供应链构成与风险证据。

2AIBOM的构成要素

AIBOM 面向数据、模型、软件、算力、平台、工具、服务七类资产，记录其构成、来源与关联关系。需要说明的是，结构化要素当前以模型、数据、代码依赖、运行时环境四类为核心；算力、平台、服务等类别按现有扫描能力以登记与溯源方式纳入管理，并随标准演进与能力提升逐步扩展其结构化要素。

表 1 七类供应链资产与 AIBOM 构成要素映射

01数据核心要素

主要记录内容

数据集标识、版本、来源、许可与哈希值

02模型核心要素

主要记录内容

模型名称、版本、架构、来源仓库与权重哈希

03软件核心要素

主要记录内容

编程语言、第三方库及版本、开源许可证

04工具核心要素

主要记录内容

MCP Server、Skills 与插件清单、版本、权限声明

05算力扩展登记

主要记录内容

训练与推理环境、容器镜像、CUDA 与推理框架版本

06平台扩展登记

主要记录内容

模型仓库、托管平台、发布者与来源标识

07服务扩展登记

主要记录内容

外部 API、第三方模型服务、数据出域与可替代性标记

“工具”这一类是当前风险最集中的地方：一个智能体接了哪些 MCP Server、这些 Server 声明了什么权限、权限是否被实际越权使用，直接决定了这个智能体能造成多大影响。

3来源核验与完整性校验

AIBOM的价值不在“列出来”，而在“可信任”。对纳入清单的模型、数据集、依赖组件与容器镜像，需要执行两类校验。

来源核验校验收发布者身份、来源仓库与发布渠道是否与声明一致，识别仿冒来源、抢注包与未授权镜像。完整性校验基于哈希比对，验证制品自发布以来未被篡改；对支持签名的制品，校验签名与签名链的有效性。核验结果在清单中独立标记，未通过核验的组件不进入可信清单，并在风险分析中作为独立风险项呈现。

这两类校验对应的是供应链安全最典型的两种攻击：仿冒投毒与传输篡改。没有它们，清单只是一份“自述材料”——组件说自己来自哪里，清单就记哪里，攻击者只需要改一处声明即可绕过。

4MCP Server 与 Skills安全检测

AIBOM能告诉你这个智能体接了哪些 MCP Server、加载了哪些 Skills，却不会告诉你这些组件自身是否安全。所以构成治理的下一步，是对其中动态性最强、也最容易被投毒的两类组件做专项检测：MCP Server 与 Skills。

为什么偏偏是这两类？原因有三点。

一是运行时挂载：它们往往在智能体运行过程中被接入，构建时生成的依赖清单里可能根本没有这一项。

二是具有动作权限：不同于只在输出层起作用的数据或模型，工具与技能可以读文件、调接口、发消息、改数据，风险直达业务。

三是来源分散且缺少统一审核：第三方市场、社区仓库与个人开发者均可发布，且都可能被仿冒。这三点叠加，使它们成为智能体供应链中风险最集中的部分。

5AIBOM 用在哪：五个高频场景

表 2 AIBOM 的五个高频应用场景

01组件漏洞与后门爆发定位

触发时机

某 MCP 组件、开源库或模型被通报存在漏洞或后门

场景说明

按组件标识与版本反查受影响的智能体名单，含责任人、部署位置与业务级别；未受影响的给出排除依据

02投毒与仿冒事件止损

触发时机

发现仿冒包、抢注包或被篡改的镜像

场景说明

依据来源核验与哈希记录定位引入该组件的智能体与引入时间，支持按工具维度单独摘除

03变更影响评估

触发时机

拟升级基座模型、新增 MCP Server、替换外部模型服务

场景说明

变更输出影响面：涉及哪些智能体、哪些数据流与权限声明，作为审批与复测的输入

04合规报送与审计取证

触发时机

监管检查、客户尽调、内部审计

场景说明

以冻结基线的清单作为当时结论的证据，说明构成、来源与核验状态；不适用与未评估如实呈现，不包装为通过

05准入卡点与供应商管理

触发时机

新智能体上线、第三方服务续约或更换

场景说明

构成不清晰、来源无法核验的组件不予准入；对外部服务标记数据出域与可替代性，支撑替代决策

6小结：从“看见”到“管住”

把两篇串起来看，AI 供应链治理其实是一条很清晰的链：

先求全地发现——把所有智能体资产纳入视野，建立智能体台账；再求深地建档——用 AIBOM 回答构成问题，并对来源与完整性做校验；最后求准地检测——有了台账与清单，检测才知道该测谁，测出问题才知道该归因给谁。