本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Security Hub 中的 AI 庫存
<a name="securityhub-v2-ai-inventory"></a>

 AWS Security Hub 中的 AI 庫存提供跨 AWS 環境的人工智慧 (AI) 和機器學習 (ML) 資源的統一檢視。使用 AI 庫存來識別未核准的 AI 工作負載、了解 AI 的執行位置及其發現方式，並優先考慮需要更深入安全性審查的資源。Security Hub 將 AI 資源組織成兩種探索類型：
+  **受管** – AWS 提供做為受管服務的 AI 資源。Security Hub 會從 AWS Config 組態項目探索這些資源。受管資源類型包括支援的 Amazon Bedrock、Amazon Bedrock AgentCore 和 Amazon SageMaker 子集。
+  **自我託管** – 非以受管服務形式提供的 AI 資源。範例包括在您自己的運算上執行的開放原始碼模型、代理程式和推論伺服器。Security Hub 會偵測這些資源，避免在 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體和 Amazon Elastic Container Registry (Amazon ECR) 映像上產生訊號。這些訊號包括 Amazon Inspector 軟體物料清單 (SBOM) 調查結果和 Amazon GuardDuty DNS 活動。

 管理員帳戶可以檢視組織中所有已啟用帳戶的 AI 資源。成員帳戶只能檢視自己帳戶中的 AI 資源。

## 自我託管 AI 探索的先決條件
<a name="securityhub-v2-ai-inventory-prerequisites"></a>

 除了啟用 Security Hub 之外，探索受管 AI 資源不需要額外的組態。若要探索自我託管 AI 資源，您還必須啟用 AWS 服務 提供貢獻訊號的 ：
+  **Amazon Inspector** – 啟用 Amazon Inspector （使用 Security Hub 基本知識） 以產生 SBOMs。Security Hub 使用這些 SBOMs 來偵測自我託管模型、推論端點和代理程式。對於 Amazon EC2 執行個體，請使用增強型掃描模式、無代理程式掃描或混合式掃描來啟用代理程式型掃描。沒有增強型掃描模式的代理程式型掃描不會產生 AI 資源偵測所需的深度軟體庫存。對於 Amazon ECR 映像，Amazon Inspector 透過容器映像掃描提供 SBOMs。
+  **Amazon GuardDuty** – 啟用 GuardDuty，讓 Security Hub 可以使用 DNS 活動來偵測 Amazon EC2 執行個體呼叫的外部 AI 端點。

## 支援的 AI 資源類型
<a name="securityhub-v2-ai-inventory-supported-resources"></a>

 在一般可用性下，Security Hub 支援下列自我託管 AI 資源類型。Security Hub 使用可信度型偵測系統進行自我託管 AI 資源。每個偵測都會錨定到主要訊號，例如 SBOM 元件。然後，Security Hub 會相互關聯其他訊號，在資源出現在庫存中之前建立可信度。Security Hub 只會顯示符合可信度閾值的資源，這有助於將誤報降至最低。每個資源都使用`ResourceType`具有 `SelfHosted::AI::`字首的 。
+  **模型 **(`SelfHosted::AI::Model`) – Hugging Face 和 Ollama 模型。Security Hub 只會在預設模型快取目錄 （例如 Hugging Face 和 Ollama 快取） 以及您為 Amazon Inspector 掃描設定的自訂路徑中偵測模型。
+  **推論端點 **(`SelfHosted::AI::InferenceEndpoint`) – 支援的模型服務軟體，例如 vLLM、Ollama、TorchServe、Triton、Text Generation Inference (TGI)、SGLang、llama.cpp、LocalAI、BentoML、Xinference、Ray Serve 和 GPT4All。
+  **代理程式 **(`SelfHosted::AI::Agent`) – OpenClaw 代理程式。
+  **外部端點** (`SelfHosted::AI::ExternalEndpoint`) – Amazon EC2 執行個體呼叫的外部 AI 服務網域。Security Hub 會維護已知 AI 服務網域的允許清單，例如 OpenAI、Anthropic、Cohere、Mistral 和其他主要 AI 供應商，並偵測您的執行個體何時向他們發出 DNS 請求。外部端點只會從 Amazon EC2 上的 GuardDuty DNS 活動偵測到。

 受管 AI 資源是 Amazon Bedrock、Amazon Bedrock AgentCore 和 Amazon SageMaker 組態項目類型的支援子集，每個都具有`AI/ML`資源類別。

## 從資源頁面尋找 AI 資源
<a name="securityhub-v2-ai-inventory-resources-page"></a>

 **資源**頁面會列出您環境中的所有資源。對於 AI 資源，您可以使用下列功能來識別 AI 工作負載和執行它們的主機：
+  受管 AI/ML 資源會在資源旁顯示 AI 圖示。選擇圖示以檢視描述。
+  執行自我託管 AI 資源的主機資源，例如 Amazon EC2 執行個體，會顯示自我託管 AI 計數徽章。沒有自我託管 AI 資源的主機不會顯示徽章。
+  使用快速篩選條件切換僅顯示包含自我託管 AI 資源的主機。
+  若要深入了解主機，請選擇主機以開啟其詳細資訊面板、選擇 **AI 資產**索引標籤，然後選擇**檢視全部**以查看該主機上偵測到的自我託管 AI 資源。

## 使用 AI 庫存頁面
<a name="securityhub-v2-ai-inventory-page"></a>

 AI 庫存頁面著重於組織中的 AI 資源。此頁面上的每個資源都屬於`AI/ML`資源類別。此頁面顯示環境中的受管 AWS AI 資源和自我託管 AI 資源。下列各節說明頁面的主要元件。

### 摘要列
<a name="securityhub-v2-ai-inventory-page-summary-bar"></a>

 摘要列會顯示 AI 資產的總數，以及依探索類型分類的明細，無論是自我託管或受管。它也會依子類別顯示明細，例如模型或代理程式。選擇統計資料的值，以在資料表中顯示支援的詳細資訊。

### 分組、篩選和搜尋
<a name="securityhub-v2-ai-inventory-page-grouping"></a>

 AI 清查表預設會依資源類型將資源分組。您可以修改群組，或將其移除，以取得所有資源的平面檢視。可用的分組欄位包括正式 ID、主機資源類型、探索類型、帳戶 ID 和資源類型。

 正式 ID 可識別什麼是資源，而與其執行位置無關。例如，執行相同 Hugging Face 模型的兩個 Amazon EC2 執行個體共用相同的正式 ID，因此您可以找到整個組織特定模型的所有部署。

**注意**  
 正式 ID 和主機資源類型群組僅適用於自我託管的資源。當您依這些欄位分組時，受管 AI 資源不會出現在結果中，因為它們沒有這些屬性。使用探索類型或資源類型群組來同時查看受管和自我託管的資源。

 **快速篩選條件**可依資源子類別或探索類型進行篩選。**屬性篩選條件**支援其他欄位，包括主機資源類型和自我託管資源的正式 ID。

### 資源詳細資訊和貢獻訊號
<a name="securityhub-v2-ai-inventory-page-detail"></a>

 選擇資源列以開啟詳細資訊面板。對於受管資源，面板會將資源組態顯示為 JSON。對於自我託管資源，面板會顯示 Security Hub 用於偵測資源的貢獻訊號。這些訊號包括偵測來源和個別訊號詳細資訊，例如 SBOM 元件，以及支援模型的推論軟體，或外部端點的 DNS 網域。

### 彙總至主機資源
<a name="securityhub-v2-ai-inventory-page-rollup"></a>

 對於自我託管 AI 資源，詳細資訊面板會顯示 Security Hub 偵測到資源的主機資源。若要查看相同主機上的所有自我託管 AI 資源，請依主機資源篩選資料表。透過此檢視，您可以從個別自我託管資源深入到其主機，並檢閱該主機上相鄰的 AI 資源。

## 考量事項
<a name="securityhub-v2-ai-inventory-limitations"></a>

 AI 庫存在一般可用性方面具有下列限制：
+  自我託管 AI 資源在此版本中沒有問題清單。Security Hub 僅顯示受管 AI 資源的調查結果計數。
+  僅 Amazon EC2 執行個體和 Amazon ECR 映像支援自我託管 AI 偵測。不支援 AWS Lambda 函數和其他運算類型。
+  Security Hub 在此版本中不會將 Amazon ECR 映像歸因於父主機，因此主機 AI 計數不會包含它們。
+  Security Hub 只會偵測來自 Amazon EC2 上 GuardDuty DNS 活動的外部端點。在此版本中，Security Hub 不會歸因於 AWS Fargate AWS Lambda、Amazon SageMaker、Amazon EKS 或其他服務受管運算的呼叫。

## 使用 API 存取 AI 庫存
<a name="securityhub-v2-ai-inventory-api"></a>

 您可以使用 [GetResourcesV2](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetResourcesV2.html) 和 [GetResourcesStatisticsV2](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetResourcesStatisticsV2.html) 操作，以程式設計方式擷取 AI 庫存資料。

 對於 AI/ML 資源，`GetResourcesV2`回應包含 `ResourceSubCategory`和 `DiscoveryType` 欄位。`DiscoveryType` 欄位指出資源是 `Managed`還是 `SelfHosted`。對於自我託管 AI 資源及其主機資源，回應也包含 `ResourceInfo` 與 `AIDetails`結構。

 自我託管 AI 資源使用`ResourceType`具有 `SelfHosted::AI::`字首的 。支援的類型包括下列項目：
+ `SelfHosted::AI::Model`
+ `SelfHosted::AI::Agent`
+ `SelfHosted::AI::InferenceEndpoint`
+ `SelfHosted::AI::ExternalEndpoint`

 此`AIDetails`結構會使用 `HostResourceGuid`和 `HostResourceType` 欄位，將自我託管 AI 資源連結至其主機。`CanonicalId` 欄位可識別什麼是資源，與部署的位置無關，因此您可以在多個主機之間彙總相同的資源。正式 ID 使用 `type/identifier` 格式：
+  對於 ML 模型： `model/<purl>`（例如，`model/pkg:huggingface/meta-llama/llama-3-8b`) 
+  對於推論端點和代理程式：`type/asset-identifier-name`格式 
+  對於外部端點：標準化網域 （例如 `api.*.openai.com`) 

 在主機資源上，例如 Amazon EC2 執行個體， `SelfHostedAI*ResourceCount` 欄位和 `SelfHostedTotalAIResourceCount` 欄位包含主機上偵測到的自我託管 AI 資源計數。

**注意**  
 當您使用 `GetResourcesV2`並依 篩選時`ResourceSubCategory`，您還必須包含`ResourceCategory`篩選條件。將比較設定為 `EQUALS`，並將值設定為 `AI/ML`。當您在 `ResourceInfo.AIDetails.CanonicalId`中依 `ResourceSubCategory`、 或 分組時`ResourceInfo.AIDetails.HostResourceType`，此要求也適用`GetResourcesStatisticsV2`。否則， 操作會傳回 `ValidationException`。  
 下列範例顯示有效的篩選條件組合：  

```
{
    "Filters": {
        "CompositeFilters": [
            {
                "Operator": "AND",
                "StringFilters": [
                    {
                        "FieldName": "ResourceCategory",
                        "Filter": {
                            "Comparison": "EQUALS",
                            "Value": "AI/ML"
                        }
                    },
                    {
                        "FieldName": "ResourceSubCategory",
                        "Filter": {
                            "Comparison": "EQUALS",
                            "Value": "Model"
                        }
                    }
                ]
            }
        ]
    }
}
```