Black Duck מציגה: סריקת מודלי AI בעידן ה-AI Act וה-Open Source
Black Duck מרחיבה את פלטפורמת ה-SCA עם AI Model Risk Insights: סריקת מודלי AI (כולל נסתרים ומטושטשים), זיהוי רישוי ומטא-דאטה, תמיכה ברגולציית AI ואינטגרציה ל-DevSecOps.
בעולם שבו יותר ויותר צוותי פיתוח משלבים מודלי AI בקוד שלהם, נוצר אתגר חדש: איך יודעים אילו מודלים באמת נמצאים במערכת, מאיפה הגיעו, תחת איזה רישיון, ואילו נתונים שימשו לאימון שלהם? חברת Black Duck, המתמחה ב-Application Security ו-Software Composition Analysis (SCA), מציגה תשובה ממוקדת לשאלות אלה.
זיהוי מודלי AI נסתרים ומטושטשים
בגרסת 2025.10.0 של פלטפורמת Black Duck נוסף מודול חדש בשם AI Model Risk Insights, המרחיב את יכולות ה-SCA אל עולמות ה-AI. המטרה: לאפשר לארגונים לקבל שקיפות מלאה לגבי מודלים שהם משתמשים בהם – גם כשהם:
- לא מוגדרים ב-manifests הרשמיים.
- נטמעו דרך צד שלישי או ריפו חיצוני.
- עברו שינוי, רה-פאקינג או ניסיון טשטוש.
הטכנולוגיה המרכזית מאחורי זה היא CodePrint – מנגנון "טביעת אצבע" לקוד ולנכסים דיגיטליים, הפועל בדומה ל-hash אך ברמת רכיבים. באמצעותו אפשר לזהות מודלים ממקורות כמו Hugging Face גם בלי הצהרה מפורשת בקוד.
רישוי, שקיפות ונתוני אימון
אחד האתגרים הכואבים כיום עבור ארגונים הוא רישוי מודלי AI: לא כל מודל פתוח באמת חופשי לשימוש מסחרי, ולא כל הסכם רישוי מתאים למדיניות החברה.
Black Duck מוסיפה:
- זיהוי אוטומטי של רישיונות מודלים.
- הצגת מטא-דאטה ייעודי למודלים, כולל Model Cards ופרטים על נתוני אימון (ככל שקיימים).
כך יכולים צוותי פיתוח, משפט והבטחת איכות להבין במהירות:
- האם השימוש במודל עומד בדרישות הפרויקט.
- האם קיימים סיכוני קניין רוחני או פרטיות.
מוכנות לרגולציית AI: EU AI Act והוראת הנשיא בארצות הברית
הפיצ'ר החדש נבנה גם עם עין רגולטורית: Black Duck מדגישה תמיכה בעמידה בדרישות מסגרות מתהוות כמו EU AI Act, ה-Executive Order האמריקאי על AI, והנחיות ענפיות שונות. עבור ארגונים גלובליים – וגם סטארטאפים ישראליים שמכוונים לשוק האירופי או האמריקאי – זה הופך את ניהול מודלי ה-AI לחלק מתהליכי ה-GRC הקיימים.
אינטגרציה טבעית ל-Workflow קיים
AI Model Risk Insights מוצע כתכונה ברישוי נוסף בתוך פלטפורמת Black Duck SCA, ונתמך באמצעות CodePrint ו-Bill of Materials Engine הקיימים. המשמעות: ניתן לשלב את סריקת מודלי ה-AI בזרימת עבודה שכבר רצה אצל צוותי DevSecOps, בלי להרים תשתית מאפס.
לדברי המנכ"ל Jason Schmitt, זהו צעד מפתח במטרה לאפשר לארגונים לאמץ AI בביטחון, תוך אבטחה, תאימות ורישוי מסודר – ולא בעיניים עצומות.