Saltar para o conteúdo principal
À medida que as bases de código adotam LLMs, agentes e o ecossistema MCP, surge uma nova classe de supply chain que um scan clássico de dependências não captura: a IA que uma aplicação executa e o ferramental de IA que a constrói. O AI Inventory descobre esses componentes nos seus repositórios e os reúne em um AI-BOM que você pode revisar, filtrar e exportar. Ele mostra quais repositórios chamam o SDK da OpenAI ou da Anthropic, onde rodam frameworks de agentes e servidores MCP, quais arquivos de modelo estão commitados no repositório e quais instruções de agentes e templates de prompt orientam seus agentes de código.

​
O que é inventariado

Todo componente detectado é classificado por tipo:

IA de runtime

SDKs de LLM, frameworks de agentes, frameworks e runtimes de ML, bancos de dados vetoriais, guardrails, observabilidade de IA, fala e áudio, e tokenizadores.

Modelos e dados

Arquivos de modelo com seu formato (GGUF, ONNX, SafeTensors), configurações de modelos locais e datasets.

Ferramental de agentes

Servidores MCP, configurações de agentes, instruções de agentes, skills e templates de prompt: a configuração e as instruções que governam o que os agentes podem fazer.

Provedor e uso

Cada componente é marcado com seu provedor (OpenAI, Anthropic, Hugging Face) e se roda em runtime ou como ferramental de desenvolvimento.
Cada linha de componente carrega:
  • Kind — uma de 17 categorias: MCP Server, LLM SDK, Agent Framework, ML Framework, ML Runtime, Vector DB, Guardrails, AI Observability, Speech & Audio, Tokenizer, Model File, Dataset, Agent Config, Agent Instructions, Skill, Prompt Template e Local Model Config.
  • Usage — Runtime, Dev Tooling ou Ambiguous.
  • Model type — IA generativa (GenAI) ou ML clássico.
  • Provider e version, quando conhecidos.
  • Detection source — um pacote SCA, um caminho de arquivo, conteúdo de arquivo ou um arquivo de configuração.
  • Reachability — para componentes respaldados por uma dependência, o status de alcançabilidade herdado do pacote vinculado: reachable, not reachable ou not tested. Consulte Alcançabilidade.
  • Direct or transitive — para componentes detectados como dependências.

​
Lendo o inventário

A visualização de componentes de IA agrupa os componentes por repositório, cada um exibindo sua contagem total e os tipos presentes, com base no scan mais recente daquele repositório com o AI Inventory habilitado. Tiles de destaque resumem o inventário: total de componentes de IA, SDKs e frameworks de modelos, e configurações e regras de agentes. Filtre por tipo, uso, tipo de modelo, provedor ou fonte de detecção; pesquise por pacote, provedor ou caminho; e restrinja a repositórios específicos. O AI Inventory detecta componentes a partir das suas dependências, caminhos de arquivo, conteúdo de arquivos e arquivos de configuração.

​
Exportar o AI-BOM

Para um AI-BOM em formato padronizado, use Export ML-BOM na linha de um repositório: isso baixa uma lista de materiais de machine learning no formato CycloneDX 1.6, construída a partir do inventário de IA daquele repositório. SDKs de LLM, frameworks de agentes e pacotes detectados semelhantes tornam-se componentes library; arquivos de modelo tornam-se componentes machine-learning-model; configurações de agentes, templates de prompt e datasets tornam-se componentes data. Cada componente carrega propriedades zeropath:ai:* para os campos que o ZeroPath de fato conhece — tipo, uso, tier, provedor, formato do modelo, fonte de detecção, caminho do manifesto/arquivo e alcançabilidade — de modo que uma propriedade ausente significa que aquele campo não é conhecido. Um inventário de IA vazio ainda produz um ML-BOM válido, sem componentes. A exportação de ML-BOM exige um scan de código concluído; um repositório que só executou scans SCA avulsos retorna um erro claro até que um scan completo seja executado. A mesma exportação também está disponível no modal Generate SBOM na página de um repositório. Consulte Exportações de SBOM para a referência completa dos formatos CycloneDX, SPDX, VEX e ML-BOM. Export AI-BOM baixa o inventário como um CSV cobrindo o scan mais recente de cada repositório com o AI Inventory habilitado, respeitando seu escopo atual de repositórios. As colunas incluem repositório, componente, tipo, uso, tipo de modelo, provedor, versão, ecossistema, fonte de detecção, caminho do manifesto, caminho do arquivo e transitividade. Use-o para revisão em toda a organização ou análise em planilha entre repositórios; use o ML-BOM quando precisar do inventário de um único repositório em um formato compatível com padrões.

​
Habilitando o AI Inventory

O AI Inventory tem sua própria configuração de scanner, separada do scanning de SCA, e vem habilitado por padrão para scans completos.
Um componente só é inventariado por scans executados depois que o AI Inventory foi habilitado. Se a visualização estiver vazia, habilite o módulo AI Inventory nas configurações do scanner e execute um novo scan completo ou de SCA.

​
Acesso via API

O AI Inventory está disponível pela API REST sob o namespace de SCA:
  • POST /api/v1/sca/ai-inventory/repositories/search — repositórios com componentes de IA, além de contagens por tipo.
  • POST /api/v1/sca/ai-inventory/components/search — linhas de componentes para o scan resolvido de um repositório.
  • POST /api/v1/sca/ai-inventory/providers/search — o conjunto de provedores detectados, para construir filtros.