Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 19
Теоретический вопрос
Чем состав ИИ-системы шире классического SBOM и какие новые сущности он добавляет: обученные модели (веса, версия, происхождение), датасеты (включая их лицензии и ограничения использования) и фреймворки инференса? Раскройте минимальные элементы SBOM for AI и объясните, почему лицензия датасета и происхождение модели — это полноценные факты состава, без которых нельзя ни оценить риск, ни принять компонент. Почему «модель работает» не отвечает на вопрос «что внутри и на чём обучено».
Практический вопрос
Мини-кейс В продукт встроена опенсорс-модель, дообученная на стороннем датасете. Известно имя модели, но не зафиксированы версия весов, происхождение и лицензия датасета. Опишите, какие элементы SBOM for AI довосстановить, как разделить факт (что за модель и данные) от решения (допустимо ли использование при такой лицензии датасета) и кто это решение принимает.
Что должен показать ответ
- Источник факта: записи о модели (версия, веса, происхождение) и датасете (лицензия, ограничения) в SBOM, а не «модель из репозитория».
- Инструмент: расширение SBOM полями AI-компонентов; чек-лист минимальных элементов SBOM for AI.
- Владелец решения: допустимость лицензии датасета и использования модели — юрист / сервис аудита/вердиктов.
- Нормативная опора: G7 SBOM for AI Minimum Elements 2026, ГОСТ Р 56939-2024, CycloneDX ECMA-424.
- Evidence: чек-лист SBOM for AI; запись лицензии и происхождения датасета и модели.