Agências de cibersegurança lançam guia SBOM para IA

Várias agências governamentais de cibersegurança publicaram novas orientações sobre Software Bill of Materials (SBOM) aplicados a Inteligência Artificial (IA), com o objetivo de reforçar a segurança e a transparência das cadeias de fornecimento de sistemas de IA.

O documento, intitulado “Software Bill of Materials (SBOM) for Artificial Intelligence – Minimum Elements”, foi divulgado a 12 de maio pelo Grupo de Trabalho de Cibersegurança do G7 e estabelece um conjunto mínimo de elementos para SBOM orientados a IA.

A iniciativa, que é um seguimento da visão partilhada sobre SBOM para IA apresentada pelo mesmo grupo em junho de 2025, procura agora detalhar componentes e práticas consideradas essenciais para produtores e utilizadores de sistemas de IA.

O modelo proposto está organizado em sete clusters principais: metadados, propriedades do sistema, modelos, propriedades dos datasets, indicadores de desempenho, infraestrutura e propriedades de segurança.

Segundo o documento, os clusters abrangem desde informação sobre modelos e datasets utilizados ao longo do ciclo de vida da IA até componentes de infraestrutura física e virtual, incluindo integração com Hardware Bill of Materials (HBOM) para hardware especializado.

As orientações sublinham igualmente a importância das propriedades de segurança, que incluem mecanismos de proteção aplicados aos modelos e sistemas de IA.

Apesar da definição destes elementos, os autores alertam que um SBOM para IA, por si só, “não é suficiente” para garantir a segurança da cadeia de fornecimento. O documento recomenda a integração destas práticas com ferramentas de vulnerability scanning, gestão de vulnerabilidades, advisories de segurança e mecanismos de automação adaptativos.

Allan Friedman, antigo responsável pelas iniciativas SBOM da Cybersecurity and Infrastructure Security Agency (CISA), considera que vários dos clusters definidos são relevantes, embora reconheça que alguns elementos continuam difíceis de medir e normalizar entre organizações.

O guia foi publicado conjuntamente pelo Federal Office for Information Security (BSI) da Alemanha, pela National Cybersecurity Agency (ACN) de Itália, pela ANSSI de França, pela Communications Security Establishment (CSE) do Canadá, pela CISA dos Estados Unidos, pelo National Cyber Security Centre (NCSC) do Reino Unido e pelo National Cybersecurity Office (NCO) do Japão, em colaboração com a Comissão Europeia.