技術要約: AIGen – ハイブリッドMLOps統合によるAI構成要素表（AIBoM）生成の自動化

1. 問題提起

人工知能（AI）システムの責任ある開発と展開には、データセット、モデルの重み、トレーニングパイプライン、およびランタイム依存関係を含むすべての構成アーティファクトの厳格な文書化が必要である。SPDX 3.0標準は、AIおよびデータセットプロファイルへのネイティブサポートを導入しているが、標準に準拠したAI構成要素表（AIBoM）を自動生成できる実用的なツールは依然として乏しい。

現在の課題は以下の通りである：

• AIシステムの複雑性: コードの依存関係を追跡する従来のソフトウェア構成要素表（SBoM）とは異なり、AIBoMは学習データ、モデルのメタデータ、および反復的な学習アーティファクトを考慮する必要がある。
• 規制圧力: 欧州連合（EU）AI法、NIST AIリスクマネジメントフレームワーク、ISO/IEC 42001などの新たな規制は、透明性が高く監査可能なサプライチェーンガバナンスを求めている。コンプライアンス違反は、深刻な財務的・法的結果を招く可能性がある。
• 自動化の欠如: 既存のMLOpsツール（例：MLflow、DVC）はメタデータを管理するが、形式的で準拠した文書を生成するものではない。手動でのコンパイルはエラーが発生しやすく、拡張性にも欠ける。

2. メソドロジー：AIGenフレームワーク

AIGenは、MLflow MLOpsフレームワーク上で動作するように設計された、Javaベースのモジュール式ジェネレーターである。本システムは、決定論的なデータマイニングと大規模言語モデル（LLM）を組み合わせたハイブリッド抽出アプローチを採用しており、SPDX 3.0 AIプロファイルに準拠した、マシンリーダブルで相互運用可能なインベントリを生成する。

2.1 アーキテクチャ・パイプライン

システムは5段階のパイプラインを通じて動作する：

1. 設定と初期化: PipeManager（Javaベースのエンジン）が、2層のYAML設定に基づき、必要なモジュールを動的にロードする。
2. データ取得: アクティブな「Builder（ビルダー）」が、APIまたはLLMを介してメタデータを収集する。
3. シリアライズ: データは標準化されたAIBoMドキュメントへと変換される。
4. 検証: 出力は形式的な仕様に対してチェックされる。
5. 非ブロッキング監査: 検証ログは、パイプラインを停止させることなく欠落しているフィールドを記録し、ヒューマン・イン・ザ・ループによる洗練を可能にする。

2.2 コアコンポーネント

• PipeManager: ランタイムのライフサイクルを監督し、Javaのリフレクションを使用してコンポーネントを実行時にインスタンス化することで、コアコードベースの変更なしに拡張性を確保する。
• Builders（ビルダー）、Teams（チーム）、Goals（ゴール）:
  • Builders: メタデータを抽出する特化したユニット（例：MLflow、GitHub、Kaggle、Hugging Face）。
  • Teams: 異種ソースからのデータを単一のSPDXコンポーネントへと集約する論理的なグループ。
  • Goals: APIの失敗や不完全なログに対処するための優先度ベースのフォールバックメカニズムを備えた、Buildersに割り当てられる特定のSPDXフィールド。
• LLMClient: プロバイダーに依存しないインターフェース（Ollama、OpenAIなどをサポート）であり、ログ、コード、およびドキュメントから非構造化自然言語フィールド（例：モデルの制限事項、ユースケース）の抽出を自動化する。これには、トークン制限を処理するためのスライディングウィンドウ抽出や、コードをメタデータから分離するノートブック最適化といった戦略が含まれる。
• Serializer（シリアライザー）: 変化する標準（例：SPDX 3.0から4.0へ）に適応するために、変更のないフィールドについては既存のロジックをラップしつつ、新しいフィールドを実装するために、継承ではなく委譲と合成を使用する。

2.3 高度なデータハンドリング

産業環境における堅牢性を確保するため、AIGenは以下を実装している：

• ライセンス解決: 「宣言された（Declared）」ライセンスと「結論付けられた（Concluded）」ライセンスを区別し、不明確な場合はNoAssertionをデフォルトとする。
• 実行の安全性: 非ブロッキングのアプローチにより、LLMのタイムアウトによるパイプラインの停止を防ぎ、推論ループが発生した場合には自動的に「標準」モードでタスクを再実行する。
• プライバシー: プロプライエタリなソースコードが外部のクラウドサービスに露出しないよう、ローカルLLMのホスティング（Ollama経由）をサポートする。

3. 主な貢献

1. AIGenツール: MLOpsデータと規制コンプライアンス標準の間の溝を埋める、AIBoM作成を自動化するモジュール式のオープンソースジェネレーター。
2. ハイブリッド抽出戦略: 構造化されたAPI抽出（ハイパーパラメータなどの決定論的データ用）と、LLMベースの合成（ユースケースや制限事項などの非構造化データ用）を統合した斬新な手法。
3. プラグインアーキテクチャによる拡張性: コアコードベースを変更することなく、ドメイン固有のコレクター（例：新しいMLOpsツール用）を追加できる設計。
4. コンプライアンスへの適合: SPDX 3.0 AIプロファイルを直接サポートし、EU AI法やNISTフレームワークへの準拠を容易にする。

4. 予備評価

著者らは、GitHubおよびKaggleから収集した、コンピュータビジョン、テーブルデータ、およびレコメンデーションシステムを網羅する8つのオープンソースMLプロジェクトを用いてAIGenを評価した。評価には、推論のためにOllama経由のDeepSeek-r1 8Bを使用した。

結果:

• フィールド生成: 本ツールは、プロジェクト全体で124個のAIBoMフィールドを生成した。
• 品質評価: 124個のフィールドのうち、91%が4段階評価において「Perfect（完璧）」（59%）または「Good（良好）」（32%）と判定された。
• 構造化 vs 非構造化:
  • 決定論的メタデータ（ハイパーパラメータ、メトリクス）のための構造化Builder（例：MLflow、Kaggle）によって処理されたフィールドは、一貫して「Perfect」の評価を得た。
  • LLMによる合成を必要とするフィールド（例：READMEからの説明文やコード）は、情報が明示的な場合には高い精度を示したが、スライディングウィンドウ戦略によるコンテキストの喪失やハルシネーション（幻覚）が時折発生した。
• 限界: ドメイン固有のフィールド（例：「制限事項」）は、分析対象のアーティファクトを超えたコンテキストを必要とする場合があり、追加のドキュメント入力の必要性を示唆している。

5. 重要性と主張

本論文は、AIGenを、透明かつ責任あるAIサプライチェーンガバナンスのための具体的で再利用可能な基盤として位置付けている。その重要性は以下の点にある：

• コンプライアンスの運用化: AIBoM生成を、理論的な概念から、自動化された統合型MLOpsワークフローの一部へと移行させること。
• スケーラビリティ: ラッパーアーキテクチャ（標準の変化に対応するため）およびヘテロジニアスなAIフレームワーク（PyTorch, TensorFlow, Hugging Face）を通じて進化できるソリューションを提供すること。
• ギャップの解消: 既存のツールがメタデータを管理していても、形式的で準拠した文書を作成できないという「運用の空白」に対処すること。

著者らは、構造化データの抽出は非常に効果的である一方で、自然言語の合成にはさらなる洗練が必要な課題が残っていると結論付けている。今後の課題は、設定の容易性と、現実世界の不完全なメタデータシナリオにおける堅牢性を評価するための、パートナー企業との産業的検証である。