事件经过
Google Cloud 开源（2026年7月13日）了 k8s-aibom，一个非特权 Kubernetes 控制器，可连续发现运行中的 AI 运行时 (vLLM、Triton、TGI、Ollama)、代理框架 (LangChain、AutoGen、CrewAI) 和矢量存储，从实时集群状态，自动生成符合标准的 CycloneDX 1.6 ML-BOM 文档，无需边车、eBPF 或特权 DaemonSet。
影响分析
通过生成审计级、运行时派生的 AI 物料清单，在无开发者摩擦或特权访问的情况下，解决影子 AI/AI-SPM 可见性差距，用基于标准（OWASP CycloneDX）的开源替代方案补充构建时 BOM 扫描器和态势管理工具。
适用范围
运行 GKE（或其他 Kubernetes）集群的平台安全和合规团队应立即评估 k8s-aibom，用于影子 AI 发现和 AI 供应链审计跟踪。