Pourquoi la mise en production de code écrit par l'IA ne laisse-t-elle aucune trace du modèle qui l'a produit?

Les assistants IA rédigent désormais une fraction significative et croissante du code de production, mais aucun format d'artefact n'enregistre quel modèle, quelle version ou quel prompt a produit une fonction donnée. Lorsqu'une vulnérabilité est attribuée à un schéma qu'une génération de modèle spécifique introduit systématiquement, il n'existe aucun moyen d'interroger une base de code ou un registre de paquets pour trouver toutes les fonctions partageant la même origine. Les nomenclatures logicielles standardisées par SPDX et CycloneDX capturent les dépendances de bibliothèques, et non la provenance de la paternité du code source. L'enquête 2026 de Cloudsmith sur la chaîne d'approvisionnement a révélé que 29 % des répondants identifient le risque lié aux paquets générés par l'IA comme leur principale préoccupation en matière de sécurité open source, et que les trois quarts des organisations traitent les SBOMs comme des artefacts de conformité statiques plutôt que comme des instruments de gouvernance actifs. La loi européenne sur l'IA et le décret exécutif américain sur l'IA font tous deux référence à l'intégrité de la chaîne d'approvisionnement logicielle, mais aucun ne précise w