Open-source AI has grown into a sprawling ecosystem where a single product might pull code from dozens of repositories, rely on training data from multiple sources, and run on specialized hardware configurations that few teams fully document. Keeping track of these dependencies is hard. Understanding which parts of that stack are exposed to the internet is harder. Current AI's release of the Open Source AI Gap Map v0.1 attempts to bring some order to that chaos, and security teams should treat it as required reading.

The index catalogs 421 open-source AI products. It breaks them down into four categories: AI models, datasets, software tools, and hardware. Under the hood, the entire project runs on 1,184 YAML files that track more than 16,000 GitHub repositories. That gap between 421 products and 16,000 repositories tells its own story. Most AI applications are not self-contained monoliths. They are assemblies of inference engines, fine-tuning scripts, data loaders, evaluation benchmarks, and driver layers, each living in its own repository with its own maintainers, commit histories, and vulnerability profiles.

Current AI published the dataset under an MIT license and made it fully public. That openness is the point. Anyone can download it, parse the YAML, and build tooling on top of it. For defenders, that accessibility is an opportunity. For attackers, it is equally convenient.

What the Map Actually Tracks

Most organizations using AI do not have a clear inventory of what they have deployed. A team might download a language model from a popular hub, install a few Python packages to run it, and call the job done. But underneath that simple workflow sits a nested set of dependencies. The model weights come from one repository. The tokenizer configuration comes from another. The inference framework might be a fork of a third project. The CUDA drivers and container images pull from yet more sources.

The Gap Map captures this by organizing its 1,184 YAML files around 421 distinct AI products. The over 16,000 GitHub repositories mapped here represent the actual code, configurations, and artifacts that make those products function. By separating entries into models, datasets, software tools, and hardware, the index forces a basic question: do you know which of these four layers your systems actually touch?

If you are running an open-source large language model in production, you are likely touching all four. You depend on the model weights and architecture. You depend on the datasets used for pre-training or fine-tuning, even if you never downloaded them directly. You depend on software tools to convert, quantize, or serve the model. And if you are running on GPUs or specialized accelerators, you depend on firmware and driver stacks that fall under the hardware category.

The Security Double-Edged Sword

This dataset serves two masters, and security leaders need to understand both sides.

On the defensive side, the Gap Map functions like a phone book for your AI supply chain. You can compare the repositories and tools your organization depends on against this index and spot gaps in your visibility. If a critical repository appears in the map but not in your software bill of materials, you have likely found shadow AI infrastructure. That is worth knowing before an adversary finds it for you.

On the offensive side, the dataset is reconnaissance gold. Attackers constantly scan for exposed AI infrastructure, model serving endpoints, and vulnerable dependencies in popular ML pipelines. The Gap Map gives them a machine-readable, structured list of targets organized by exactly the categories they care about. A single YAML parser can extract thousands of repository URLs, and from there an attacker can cross-reference known vulnerabilities, look for misconfigured public instances, or identify high-value targets for dependency confusion attacks.

Because the data is MIT-licensed and public, there is no barrier to entry. No subscription, no approval process. That design choice maximizes utility for researchers and defenders, but it also maximizes utility for threat actors. The same file that helps you harden your stack helps someone else build a target list.

What to Do With This Information

Treat this dataset exactly as you would treat a threat intelligence feed. Do not bookmark it and forget it. Run an active check against your environment.

Hãy bắt đầu bằng việc lập danh sách mọi thành phần AI mã nguồn mở mà các đội ngũ của bạn đang sử dụng. Đừng chỉ nhìn vào những thứ hiển nhiên. Hãy hỏi xem những kho lưu trữ (repositories) nào đang cung cấp các bộ mã hóa token (tokenizers), các kịch bản đánh giá (evaluation scripts), các thư viện lượng tử hóa (quantization libraries) và các hình ảnh cơ sở container (container base images) của bạn. Sau đó, hãy đối chiếu các kho lưu trữ đó với 16.000 kho được theo dõi trong Gap Map. Nếu bạn tìm thấy các kết quả trùng khớp, bạn đã xác nhận rằng các phụ thuộc (dependencies) của mình nằm trong một trong những khu vực được lập chỉ mục nổi bật nhất của thế giới AI mã nguồn mở. Sự nổi bật đó là con dao hai lưỡi. Nó thường đồng nghĩa với việc được bảo trì tích cực và được cộng đồng giám sát kỹ lưỡng, nhưng nó cũng có nghĩa là những kẻ tấn công biết rõ sự tồn tại của các kho lưu trữ này.

Tiếp theo, hãy xem xét chính cấu trúc YAML. Mỗi tệp trong số 1.184 tệp sẽ kết nối các sản phẩm với các kho lưu trữ nền tảng của chúng theo một định dạng chuẩn hóa. Bạn có thể viết một script đơn giản để so sánh các bản kê khai phụ thuộc (dependency manifests), danh sách gói (package lists) hoặc các tệp xuất SBOM của mình với các sơ đồ ánh xạ này. Nếu bạn phát hiện ra rằng ngăn xếp sản xuất (production stack) của mình phụ thuộc vào các kho lưu trữ mà bạn chưa từng nghe tới, hãy đào sâu hơn. Các phụ thuộc không xác định chính là nơi các cuộc tấn công chuỗi cung ứng ẩn náu.

Hãy đặc biệt chú ý đến lớp phần cứng. Các đội ngũ bảo mật thường tập trung vào phần mềm và các mô hình, trong khi coi trình điều khiển (drivers) và phần sụn (firmware) như những yếu tố phụ không đáng kể. Gap Map lập chỉ mục rõ ràng cho các kho lưu trữ liên quan đến phần cứng, điều này nên nhắc nhở bạn rằng các ngăn xếp trình điều khiển GPU, bộ công cụ trình biên dịch (compiler toolchains) và phần sụn của bộ tăng tốc cũng là mã nguồn. Chúng có lỗi. Chúng được cập nhật. Và khi chúng lỗi thời, chúng có thể trở thành mục tiêu dễ bị tấn công nhất trong pipeline của bạn.

Cuối cùng, hãy sử dụng...