锦岳智慧 · 号外

标准会变，扫描能力会补上，但“出事时能不能拿出证据”这个要求不会变。先把这条链接起来，之后每补齐一块标准、每接入一类能力，都能直接落在已有的结构上——这是五步法真正的意义。

AI供应链治理是一条完整的链：先求全地发现（第一篇），再求深地建档（第二篇），再求准地检测（第三篇），再把要求落到证据（第四篇），最后用度量看清成效、驱动改进（第五篇）。

先形成证据链，再追求标准版本完整。合规问询、监管检查、事故复盘时，对方要的不是“我们做了多少工作”，而是“这件事能不能拿出证据”。而证据类工作有一个共同特点：事后补不回来。

AI 供应链治理是一条清晰的链：先求全地发现，把所有智能体纳入视野；再求深地建档，用 AIBOM 说清构成，并校验来源与完整性；最后求准地检测——有了台账与清单，检测才知道该测谁，测出问题才知道该归因给谁。

先求全地发现——把所有智能体资产纳入视野，建立智能体台账；再求深地建档——用 AIBOM 回答构成问题，并对来源与完整性做校验；最后求准地检测——有了台账与清单，检测才知道该测谁，测出问题才知道该归因给谁。

摸清“有多少个智能体”只是第一步。治理真正需要回答的下一个问题是：每一个智能体，究竟由什么构成？当某个 MCP 组件曝出漏洞时，能不能在几分钟内给出受影响的智能体名单和责任人？

AIBOM 管理系统：把 AI 资产从“一张清单”变成“一份可复核的证据”

AI 供应链安全要回答的，已经不只是「装了什么」，而是「怎么造的、从哪来、谁改过、现在靠什么在跑」。标准体系仍在演进，真正决定风险水位的，是台账是否统一、来源是否可核验、制品是否可签名验证、过程是否留有 provenance、变更是否受控。

尊敬的用户：我司将于 2026 年 10 月 1 日 - 10 月 7 日期间放假。