Why does shipping AI-written code leave no record of which model wrote it?
Möglichkeit
AI assistants now author a significant and growing fraction of production code, but no artifact format records which model, version, or prompt produced a given function. When a vulnerability is traced to a pattern that a specific model generation reliably introduces, there is no way to query a codebase or package registry to find every function that shares the same origin. Software Bills of Materials standardized by SPDX and CycloneDX capture library dependencies, not authorship provenance of source code. The 2026 Cloudsmith supply-chain survey found 29 percent of respondents identify AI-generated package risk as their top open-source security concern, and three quarters of organizations treat SBOMs as static compliance artifacts rather than active governance instruments. The EU AI Act and the US Executive Order on AI both reference software supply-chain integrity but neither specifies w
Warum es wichtig ist
AI authorship provenance is the SBOM gap that will define the next decade of software supply-chain audits and incident response.
Wie ich die Chance bewerte
Der Opportunity Score ist meine persönliche Einschätzung, keine Messung: wie stark es schmerzt, wie oft es auftritt und wie wenig heute existiert, um es zu lösen. Ein höherer Wert bedeutet, dass ich es für lohnender halte, es umzusetzen.
Wie viel Schmerz es verursacht, wenn es auftritt.
Wie oft Menschen tatsächlich darauf stoßen.
Wie wenig gute Werkzeuge dafür heute existieren.
Weitere lösungswürdige Probleme
Warum ist die Software, auf die wir am meisten angewiesen sind, am schlechtesten zu bedienen?
TechWarum gehören mir die Daten, die ich erzeuge, immer noch nicht?
TechWarum erhalte ich keinen Beleg, der beweist, dass meine Daten tatsächlich gelöscht wurden?
TechWarum kann ich nicht wissen, ob das, was gerade ausgeführt wird, dem entspricht, was meine SBOM deklariert hat?
TechWarum bricht jede C2PA-Herkunftskette in dem Moment, in dem Inhalte auf soziale Medien treffen?
TechWarum kann ich einen Produktionsfehler nicht nachverfolgen, der eine Message Queue überschritten hat?