AI سے لکھا گیا کوڈ شپ کرتے وقت اس بات کا کوئی ریکارڈ کیوں نہیں ہوتا کہ کس ماڈل نے لکھا؟

AI اسسٹنٹس اب پروڈکشن کوڈ کا ایک قابلِ ذکر اور بڑھتا ہوا حصہ لکھتے ہیں، لیکن کوئی آرٹیفیکٹ فارمیٹ یہ ریکارڈ نہیں کرتا کہ کون سے ماڈل، ورژن یا پرامپٹ نے کوئی مخصوص فنکشن تیار کیا۔ جب کوئی کمزوری کسی ایسے پیٹرن سے منسوب کی جاتی ہے جسے ایک مخصوص ماڈل جنریشن قابلِ اعتماد طریقے سے پیدا کرتی ہے، تو کوڈ بیس یا پیکیج رجسٹری میں ہر اس فنکشن کو تلاش کرنے کا کوئی طریقہ نہیں جو ایک ہی ماخذ سے آیا ہو۔ SPDX اور CycloneDX کے ذریعے معیاری بنائے گئے Software Bills of Materials لائبریری dependencies کو ریکارڈ کرتے ہیں، سورس کوڈ کی authorship provenance کو نہیں۔ 2026 کے Cloudsmith supply-chain سروے میں پایا گیا کہ 29 فیصد جواب دہندگان AI سے تیار شدہ پیکیج رسک کو اپنی سب سے بڑی اوپن سورس سیکیورٹی تشویش کے طور پر شناخت کرتے ہیں، اور تین چوتھائی تنظیمیں SBOMs کو فعال گورننس ٹولز کی بجائے جامد تعمیلی آرٹیفیکٹس کے طور پر دیکھتی ہیں۔ EU AI Act اور AI سے متعلق امریکی ایگزیکٹو آرڈر دونوں سافٹ ویئر سپلائی چین کی سالمیت کا حوالہ دیتے ہیں لیکن کوئی بھی یہ متعین نہیں کرتا کہ