Transparenz für die KI-Lieferkette

Eine klassische SBOM inventarisiert Softwarekomponenten und ihre Abhängigkeiten – Bibliotheken, Versionen, Lizenzen. Das Verhalten eines KI-Systems wird jedoch maßgeblich durch Artefakte bestimmt, die dieses Raster nicht erfasst: das Modell selbst, seine Gewichte, die Trainings- und Evaluationsdatensätze sowie deren Herkunft und Vorverarbeitung. Ein Modell kann sich durch erneutes Training oder Fine-Tuning grundlegend ändern, ohne dass sich eine einzige Codezeile oder Paketversion bewegt. Eine AI-SBOM erweitert das Inventar deshalb um genau diese Bestandteile – als Voraussetzung dafür, Herkunft, Integrität und Risiken eines KI-Systems überhaupt bewerten zu können.

CycloneDX unterstützt seit Version 1.5 (Juni 2023) die ML-BOM: Die Komponententypen „machine-learning-model“ und „data“ stellen Modelle und Datensätze gleichberechtigt neben Software-Bibliotheken. Ein „modelCard“-Objekt dokumentiert Verwendungszweck, Limitierungen, Verzerrungen, Trainingsparameter, verwendete Datensätze, Performance-Metriken und ethische Überlegungen; Daten-Komponenten erfassen u. a. Inhalte, Klassifizierung, sensible Daten und Governance. Die Spezifikation wurde im Juni 2024 erstmals als internationaler Standard ECMA-424 veröffentlicht; die aktuelle 2. Edition (Dezember 2025) entspricht CycloneDX 1.7 (Oktober 2025).

SPDX, das zweite große SBOM-Format, ist seit Version 3.0 (April 2024, aktuell 3.0.1 vom Dezember 2024) modular in Profile gegliedert – darunter ein eigenes AI- und ein Dataset-Profil. Das AI-Profil beschreibt KI-Pakete („AIPackage“) mit Eigenschaften wie Modelltyp, Trainingsinformationen, Energieverbrauch und einer Einstufung des Sicherheitsrisikos; das Dataset-Profil dokumentiert Datensätze („DatasetPackage“) mit Größe, Typ, Verfügbarkeit, Vorverarbeitung, enthaltenen sensiblen Informationen und bekannten Verzerrungen. Eine Version 3.1 liegt bislang nur als Release Candidate vor, ist also noch im Entwurfsstadium.

Model Cards gehen auf das Paper „Model Cards for Model Reporting“ (Mitchell et al., FAT*-Konferenz 2019) zurück: eine standardisierte Kurzdokumentation je Modell mit Einsatzzweck, Evaluationsergebnissen unter verschiedenen Bedingungen – etwa über demografische Gruppen hinweg – sowie bekannten Limitierungen. Auf Model-Hubs sind sie heute gängige Praxis, allerdings meist als Freitext ohne verbindliches Schema. CycloneDX überführt das Konzept mit dem „modelCard“-Feld in ein maschinenlesbares Format und macht es damit für automatisierte Prüfungen, Einkaufsentscheidungen und Risikobewertungen nutzbar.

Die Risiken sind dokumentiert: JFrog identifizierte im Februar 2024 rund 100 bösartige Modelle auf Hugging Face, deren Schadcode beim Laden ausgeführt wird – möglich durch das Pickle-Format, das bei der Deserialisierung beliebigen Python-Code ausführen kann und lange Standardformat für PyTorch-Gewichte war; als Gegenmaßnahmen gelten Safetensors, Import-Scanning und signierte Artefakte. Auch die Framework-Ebene ist betroffen: Über Dependency Confusion wurde im Dezember 2022 das Paket „torchtriton“ auf PyPI platziert und exfiltrierte aus PyTorch-nightly-Installationen u. a. SSH-Schlüssel und Systemdaten. OWASP führt die KI-Lieferkette daher als eigenes Top-10-Risiko (LLM03:2025 Supply Chain) und empfiehlt explizit ein aktuelles Komponenteninventar per SBOM bzw. AI-BOM.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen, Schwachstellen und Komponenten zu identifizieren und zu dokumentieren – einschließlich einer SBOM „in einem gängigen, maschinenlesbaren Format“, die mindestens die obersten Abhängigkeitsebenen abdeckt (Anhang I Teil II Nr. 1); die Meldepflichten gelten ab dem 11.09.2026, die Hauptpflichten ab dem 11.12.2027. Der AI Act (Verordnung (EU) 2024/1689) verlangt für Hochrisiko-KI-Systeme eine technische Dokumentation nach Art. 11 und Anhang IV, u. a. zu Datensätzen (Herkunft, Umfang, Hauptmerkmale) und zum Rückgriff auf vortrainierte Systeme oder Tools von Dritten. Anbieter von GPAI-Modellen müssen nach Art. 53 seit dem 02.08.2025 eine technische Dokumentation (Anhang XI), Informationen für nachgelagerte Anbieter (Anhang XII) und eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte bereitstellen; im Wesentlichen gilt die Verordnung ab dem 02.08.2026. Eine gepflegte AI-SBOM liefert für beide Rechtsakte die Datengrundlage.