SBOM
软件成分清单，记录软件产品中所有组件、库和依赖项的详细信息，用于软件供应链透明度管理和安全合规
核心事实
时间轴 (近 90 天)
自更新机制破坏了企业的软件物料清单（SBOM）和版本锁定策略。
制品溯源指在软件发布中记录构建产物来源、依赖版本、编译环境和签名信息，常见做法包括生成SBOM、校验和及构建日志。
SBOM以机器可读格式列出软件产品中所有开源和第三方组件及其版本信息，用于在新漏洞披露时快速评估设备是否受影响
FDA在其2023年网络安全指南中明确要求医疗设备制造商在上市前提交SBOM（软件物料清单）
容器安全建议使用 Trivy 扫描漏洞、用 Cosign 校验签名并附带 SBOM 文件
SBOM 是列举软件所有组成成分（含直接与传递性依赖、版本号和许可证）的结构化清单
利用依赖扫描工具、软件物料清单（SBOM）及签名验证机制可及时发现已知漏洞与异常变更
Docket 的思路类似于软件供应链安全领域的 SBOM 或 SLSA 框架，但回答的是提交由哪个智能体在什么上下文下生成、经过哪些验证步骤
锁定依赖版本、使用软件物料清单(SBOM)、以及借助Dependabot或OpenSSF Scorecard等工具持续扫描，已成为成熟开源项目安全实践的标配
Software Bill of Materials (SBOM)已被美国政府行政令强制要求用于联邦软件采购
还有 4 条时间轴事件
全部知识事实 (16)
2021年美国总统行政令（EO 14028）要求联邦软件供应商提供软件物料清单（SBOM）
80%待验证美国政府在SolarWinds和Log4Shell事件后发布行政令要求推行软件物料清单（SBOM），欧盟推出《网络弹性法案》将开源软件安全责任纳入监管框架
90%待验证SBOM 是列举软件所有组成成分（含直接与传递性依赖、版本号和许可证）的结构化清单
60%待验证自更新机制破坏了企业的软件物料清单（SBOM）和版本锁定策略。
50%待验证制品溯源指在软件发布中记录构建产物来源、依赖版本、编译环境和签名信息，常见做法包括生成SBOM、校验和及构建日志。
50%待验证SBOM以机器可读格式列出软件产品中所有开源和第三方组件及其版本信息，用于在新漏洞披露时快速评估设备是否受影响
50%待验证FDA在其2023年网络安全指南中明确要求医疗设备制造商在上市前提交SBOM（软件物料清单）
50%待验证容器安全建议使用 Trivy 扫描漏洞、用 Cosign 校验签名并附带 SBOM 文件
50%待验证利用依赖扫描工具、软件物料清单（SBOM）及签名验证机制可及时发现已知漏洞与异常变更
50%待验证Docket 的思路类似于软件供应链安全领域的 SBOM 或 SLSA 框架，但回答的是提交由哪个智能体在什么上下文下生成、经过哪些验证步骤
50%待验证锁定依赖版本、使用软件物料清单(SBOM)、以及借助Dependabot或OpenSSF Scorecard等工具持续扫描，已成为成熟开源项目安全实践的标配
50%待验证Software Bill of Materials (SBOM)已被美国政府行政令强制要求用于联邦软件采购
50%待验证美国白宫发布了关于改善国家网络安全的行政命令 EO 14028，要求软件供应商提供 SBOM（软件物料清单）
50%待验证主流SBOM标准SPDX和CycloneDX主要关注打包依赖，尚未充分覆盖运行时的SaaS API依赖
50%待验证美国白宫在SolarWinds事件和Log4Shell漏洞后发布行政命令EO 14028，要求软件供应商提供SBOM（软件物料清单）
50%待验证软件领域的 SBOM 概念正在向机器学习领域延伸，催生了 Model Card 和 ML-BOM 等模型元数据标准
50%