Cybertrust宣布構建AI時代關鍵基礎設施供應鏈信任基礎設施的願景

Cybertrust股份有限公司（總部：日本東京都港區，代表取締役社長：北村裕司，以下簡稱「Cybertrust」）宣布推出「AI時代關鍵基礎設施供應鏈信任基礎設施構想」（以下簡稱「本構想」），以支援AI時代下關鍵基礎設施的IT基礎運作。

本構想基於「AI的可靠性取決於軟體透明度（平台服務）與資料真實性（信任服務）」的理念，整合Cybertrust自創立以來提供的兩大核心服務，目標是為關鍵基礎設施業者打造一個即使在AI時代也能安全、持續管理IT基礎設施的運營基礎。

作為本構想的首項行動，Cybertrust將與Dark Sky Technology, Inc.（總部：美國科羅拉多州柯林斯堡，CEO：Michael Mehlberg，以下簡稱「Dark Sky」）合作，自2026年9月起，逐步為關鍵IT系統與嵌入式產品提供「OSS合規認證服務」。
該服務將協助建立OSS採用標準、評估SBOM與OSS組成資訊、判斷弱點因應措施，並支援審計與客戶說明報告的製作。

■ 構想背景

在軟體開發與運維現場，AI已廣泛應用於程式碼生成、建議新增或修改OSS，以及各項運維作業。
然而，在關鍵基礎設施領域，AI所生成或建議的程式碼、設定變更或新增的OSS，無法直接採用。必須持續確認並說明所用軟體的組成、OSS來源與維護狀況、弱點因應的判斷依據、變更紀錄與稽核軌跡。

隨著AI應用日益普及，關鍵基礎設施業者更需要一套能持續管理支撐AI的軟體基礎與OSS使用狀況的機制。

在日本，經濟產業省與內閣官房國家網路安全統籌室預計於2026年3月發布《網路基礎設施業者應盡職責等相關指引》，闡明軟體開發、供應與運維業者及其客戶，應在整個供應鏈中共同承擔資安責任※1。

Cybertrust基於此市場環境與國內外指引，推動本構想，以支援AI時代關鍵基礎設施所需的IT基礎設施持續運維管理。

■ 信任基礎設施構想說明

本構想中的信任基礎設施，是指對支撐關鍵基礎設施的IT基礎、作業系統、OSS、軟體組成資訊、弱點因應、運維軌跡等，於整個生命週期中進行持續管理的架構。
在AI時代，軟體開發與運維雖加速進行，但仍須對所用OSS、生成的程式碼、套用的修補、運維決策等，維持持續可說明的狀態。
此外，隨著AI代理與AI生成資料的應用推進，國際間正積極討論認證、授權與資料真實性的標準化。特別是在關鍵基礎設施領域，對ICAM、ABAC、IPSIE※2等架構的支援也至關重要。

Cybertrust將運用其透過MIRACLE LINUX、AlmaLinux、EMLinux等累積的Linux/OSS長期維護、嵌入式Linux開發、回饋OSS社群、SBOM運作等經驗，並整合其在認證、授權與資料真實性等信任服務領域的專業知識，致力實現AI時代關鍵基礎設施所需的信任基礎設施。

■ 首項行動：與Dark Sky Technology合作

作為本構想的首項行動，Cybertrust將與Dark Sky合作，支援關鍵基礎設施領域OSS的安全且持續運作。
本服務結合Dark Sky的軟體供應鏈安全平台「Bulletproof Trust」，以及Cybertrust在Linux/OSS長期維護、嵌入式Linux開發、SBOM運作與本地支援方面的專業知識。

Bulletproof Trust可支援SBOM管理、OSS套件健全性評估與相依性風險分析、威脅情報、稽核軌跡管理。藉此可在使用OSS前確認各套件的健全性，確保開發環境始終處於安全狀態；並從開發階段到發布後的運維，持續評估與管理OSS風險。

Cybertrust將負責日本客戶的導入支援、OSS運維設計、稽核與客戶說明支援。雙方將整合各自專業，共同支援關鍵基礎設施領域OSS的安全且持續運作。

■ OSS合規認證服務說明

「OSS合規認證服務」並非單純使用OSS，而是協助業者在使用前、使用中及發現弱點時，判斷是否可使用OSS及因應方針，並以可說明的方式記錄依據的服務。

本服務主要支援以下項目：

- 建立OSS採用標準與運維政策
- 評估SBOM與OSS組成資訊
- 確認OSS維護狀況、弱點、授權條款與開發社群風險
- 整理弱點因應的優先順序
- 整理例外判斷與持續使用決策的依據
- 支援製作稽核與客戶說明報告

僅製作SBOM，並不等同於安全地運維OSS。關鍵在於，須根據SBOM與OSS組成資訊，判斷哪些OSS可使用、哪些需額外審查、哪些應避免使用、哪些可例外允許，並記錄其理由。Cybertrust與Dark Sky將此運作模式定位為「OSS合規認證服務」，提供給涉及關鍵IT系統與嵌入式產品的主承包商。

■ 未來發展方向

Cybertrust將以本構想為核心，逐步擴大針對關鍵基礎設施供應鏈的信任基礎設施措施。
首先，透過與Dark Sky的合作，針對關鍵IT系統與嵌入式產品的主承包商，推進OSS採用標準建立、SBOM評估、弱點因應判斷、稽核報告支援等服務化。

針對關鍵IT系統，將以既有開發與運維環境為基礎，先從OSS採用評估、組成資訊評估、稽核說明支援開始，必要時再考慮擴展至自動化。

針對嵌入式產品，將考慮與EMLinux及EMLinux客製化維護服務整合，擴展至CI、建置成果管理、測試結果管理等開發與運維流程的資訊管理。

未來，將進一步納入AI生成程式碼與修改建議的審查、針對偵測到的弱點評估實際影響與因應必要性、簽署式稽核軌跡等機制，目標是實現讓關鍵基礎設施業者在AI時代仍能安全持續使用OSS的運維管理基礎。同時，也將持續提供符合認證、授權與資料真實性國際標準化趨勢的信任服務。