Суть
Цепочка поставки агентной системы шире, чем у обычного сервиса: это не только образы и пакеты. Управляемыми объектами, к которым должен уметь вернуться разбор выпуска, решение заверения или разбор инцидента, оказываются:
- утверждённый маршрут к модели;
- утверждённый набор правил инструкций;
- утверждённый набор политик;
- утверждённый контракт возможности (Tool Catalog);
- утверждённая схема подтверждения (Approval Path);
- утверждённая схема управления средой исполнения;
- утверждённый корпус извлечения;
- утверждённый набор для оценки;
- утверждённый шлюз поэтапного выпуска.
Список почти совпадает с перечнем поверхностей изменений (Change Classification Agent) — и это не совпадение: всё, что меняет поведение, обязано иметь происхождение.
Набор правил без происхождения — такой же пробел, как неподписанная сборка
Формулировка, которую стоит запомнить целиком. Команда, тщательно подписывающая образы и при этом хранящая системную инструкцию в файле без владельца и версии, защитила менее важную половину цепочки.
Стандарт согласен и перечисляет объекты подписи явно — веса, конфигурации, токенизаторы, базовые модели, дообучения, адаптеры и модели безопасности и политик (AISVS C3.1.2). Последний пункт и есть та самая половина: защитный артефакт подписывается наравне с продуктовым. Требование при этом двустороннее — подписи проверяются при допуске к развёртыванию и при загрузке (C3.1.3), потому что проверка только на входе оставляет подмену между развёртыванием и запуском.
То же касается наборов для оценки: если набор, по которому принимается решение о выпуске, сам не является доверенным артефактом, шлюз качества опирается на неизвестно чей файл (Agent Evals).
Утверждённый реестр — не то же самое, что доверенный артефакт
Различие практическое. Реестр отвечает на вопрос «откуда разрешено брать», доверенность — «что именно и в каком состоянии». Компонент, взятый из утверждённого реестра, но без статуса проверки и владельца, доверенным не становится: реестр гарантирует источник, а не пригодность конкретной версии.
Это различение видно и в устройстве требований: инвентарь артефактов с их происхождением — отдельное требование первого уровня (AISVS C3.1.1), подпись и её проверка — требования второго (C3.1.2, C3.1.3). Реестр заводят раньше и дешевле; доверенность к нему не сводится.
Для агентной системы к цепочке поставки относятся ещё две вещи, которые редко считают артефактами: контракты возможностей и правила сетевого выхода. Обе меняют, что система может сделать во внешнем мире (Capability Containment).
Связано с
Supply Chain AI — откуда артефакт приходит и почему его происхождение не доказывается карточкой
Change Classification Agent — тот же список, но со стороны изменений
ADLC — где артефакты проходят проверку
Agent Registry — учёт самих агентов, а не их артефактов
Tool Catalog — контракт возможности как доверенный артефакт
Agent Evals — набор оценок как доверенный артефакт
IaC CICD AI — четырёхчастный релизный артефакт и атомарный откат
Agent Audit Log — куда возвращается разбор инцидента