Por que o lançamento de código escrito por IA não deixa nenhum registro de qual modelo o escreveu?

Assistentes de IA agora são autores de uma fração significativa e crescente do código de produção, mas nenhum formato de artefato registra qual modelo, versão ou prompt produziu uma determinada função. Quando uma vulnerabilidade é rastreada até um padrão que uma geração específica de modelos introduz de forma recorrente, não há como consultar uma base de código ou registro de pacotes para encontrar cada função com a mesma origem. Os SBOMs padronizados pela SPDX e pela CycloneDX capturam dependências de bibliotecas, não a proveniência de autoria do código-fonte. A pesquisa de cadeia de suprimentos Cloudsmith de 2026 constatou que 29 por cento dos respondentes identificam o risco de pacotes gerados por IA como sua principal preocupação de segurança em código aberto, e três quartos das organizações tratam os SBOMs como artefatos estáticos de conformidade em vez de instrumentos ativos de governança. O EU AI Act e a Ordem Executiva dos EUA sobre IA ambos fazem referência à integridade da cadeia de suprimentos de software, mas nenhum especifica w