スロップスクワッティング

大量のテキストで事前学習した、膨大な数のパラメータを持つ言語モデル。主にTransformerを基盤とし、与えられた文脈に続くトークンを予測することで、文章の生成、要約、翻訳、質問応答、プログラムの作成など多様な処理を行える。事実と異なる内容を生成するハルシネーションに注意が必要である。

コード生成AIが、実在しないライブラリやパッケージの名前をもっともらしく提案してしまう現象。提案どおりにインストールすると、攻撃者がその名前で先回りして登録した悪意あるパッケージを取り込むおそれがある（スロップスクワッティング）。パッケージの実在と信頼性を確かめてから導入することが対策になる。

生成AIが、学習データを集めた時点より後の出来事を知らないために、古くなった情報を現在も正しいものとして出力するリスク。法令の改正や製品の仕様変更などを反映していない回答が生じるため、最新の情報源で確かめてから使う必要がある。

ソフトウェアを構成するOSSやライブラリなどの部品の名称、バージョン、依存関係、ライセンスを一覧にした部品表。新しい脆弱性が公表されたときにSBOMと照合すれば、影響を受ける製品やシステムをすぐに特定でき、脆弱性管理を迅速にできる。SPDXやCycloneDXといった標準の形式があり、脆弱性が実際に悪用可能かを伝えるVEXと組み合わせて使われる。

生成AIなどのAIサービスで、利用者が入力したデータをモデルの学習や改善に利用することについて、利用者が拒否（オプトアウト）できる条件や手段を定めた方針。既定で学習に使うか、設定や申請で除外できるか、法人向けの契約では使わないかなどはサービスによって異なるため、業務で使う前に確認し、機密情報や個人情報を入力しない運用と組み合わせる。

組織の従業員が生成AIなどのAIを業務で使うときのルールを定めた方針。利用してよいサービス、入力してはならない情報（機密情報や個人情報）、出力内容の確認と責任、著作権への配慮、利用目的の範囲などを定める。AIガバナンスの一部として整備し、許可されていないAIの利用（シャドーAI）を防ぐ役割もある。