Waarom laat het uitbrengen van door AI geschreven code geen registratie achter van welk model het heeft geschreven?

AI-assistenten zijn nu verantwoordelijk voor een aanzienlijk en groeiend aandeel van productiecode, maar geen enkel artefactformaat legt vast welk model, welke versie of welke prompt een bepaalde functie heeft gegenereerd. Wanneer een kwetsbaarheid wordt teruggevoerd op een patroon dat een specifieke modelgeneratie betrouwbaar introduceert, is er geen manier om een codebase of pakketregister te doorzoeken en elke functie met dezelfde oorsprong te vinden. Software Bills of Materials gestandaardiseerd door SPDX en CycloneDX leggen bibliotheekafhankelijkheden vast, niet de auteursprovenance van broncode. Het Cloudsmith-toeleveringsketenonderzoek van 2026 wees uit dat 29 procent van de respondenten AI-gegenereerd pakketrisico als hun voornaamste open-sourcebeveiligingszorg beschouwt, en driekwart van de organisaties behandelt SBOM's als statische nalevingsartefacten in plaats van actieve governanceinstrumenten. De EU AI Act en het Amerikaanse Executive Order inzake AI verwijzen beide naar de integriteit van de softwaretoeleveringsketen maar geen van beiden specificeert w