SBOM
软件成分清单，记录软件产品中所有组件、库和依赖项的详细信息，用于软件供应链透明度管理和安全合规
核心事实
时间轴 (近 90 天)
Kinotic 将部署流程标准化：每次代码推送都会触发一条统一的管道，完成构建、部署和 SBOM 生成。
SBOM（软件物料清单）逐渐成为漏洞响应中的基础设施，没有它，组织无法在数小时内判断自己是否受影响。
应将模型权重纳入软件物料清单（SBOM）管理范畴，明确哪些模型版本经过安全评估、哪些禁止在生产Agent中使用。
当前多数SBOM工具链并不解析模型权重格式（如safetensors、GGUF），也缺乏对权重哈希与官方发布版本比对的标准流程，这使得被abliteration处理过的模型变体可以轻易绕过常规依赖审计。
软件物料清单（SBOM）是以机器可读格式记录一个系统包含的所有组件及其版本的实践，用于漏洞披露后快速定位受影响资产。
目前PHP生态对SBOM的支持仍不统一，Composer虽能导出依赖树，但插件、主题和自行修改的代码往往游离在清单之外。
现代安全实践强调软件物料清单（SBOM）和依赖项持续监控，帮助组织快速定位自身是否受某个组件漏洞影响。
结合SBOM和漏洞订阅自动化匹配，可以将从得知漏洞到评估影响的时间从数天压缩到小时级。
当前生态中模型来源元数据（如模型指纹、许可证声明、依赖清单）的完整性和标准化程度仍然有限，这是合规判断复杂化的技术根源。
软件物料清单（SBOM）是用于列出软件全部组件与依赖关系的工具，将SBOM理念延伸到AI领域出现了AI物料清单（AI-BOM）或模型卡等实践。
还有 17 条时间轴事件
全部知识事实 (20)
2021年美国总统行政令（EO 14028）要求联邦软件供应商提供软件物料清单（SBOM）
80%已验证SBOM 是列举软件所有组成成分（含直接与传递性依赖、版本号和许可证）的结构化清单
65%待验证美国政府在SolarWinds和Log4Shell事件后发布行政令要求推行软件物料清单（SBOM），欧盟推出《网络弹性法案》将开源软件安全责任纳入监管框架
90%待验证Kinotic 将部署流程标准化：每次代码推送都会触发一条统一的管道，完成构建、部署和 SBOM 生成。
50%待验证SBOM（软件物料清单）逐渐成为漏洞响应中的基础设施，没有它，组织无法在数小时内判断自己是否受影响。
50%待验证应将模型权重纳入软件物料清单（SBOM）管理范畴，明确哪些模型版本经过安全评估、哪些禁止在生产Agent中使用。
50%待验证当前多数SBOM工具链并不解析模型权重格式（如safetensors、GGUF），也缺乏对权重哈希与官方发布版本比对的标准流程，这使得被abliteration处理过的模型变体可以轻易绕过常规依赖审计。
50%待验证目前PHP生态对SBOM的支持仍不统一，Composer虽能导出依赖树，但插件、主题和自行修改的代码往往游离在清单之外。
50%待验证软件物料清单（SBOM）是以机器可读格式记录一个系统包含的所有组件及其版本的实践，用于漏洞披露后快速定位受影响资产。
50%待验证现代安全实践强调软件物料清单（SBOM）和依赖项持续监控，帮助组织快速定位自身是否受某个组件漏洞影响。
50%待验证软件物料清单（SBOM）是用于列出软件全部组件与依赖关系的工具，将SBOM理念延伸到AI领域出现了AI物料清单（AI-BOM）或模型卡等实践。
50%待验证当前生态中模型来源元数据（如模型指纹、许可证声明、依赖清单）的完整性和标准化程度仍然有限，这是合规判断复杂化的技术根源。
50%待验证美国政府在2021年Log4Shell事件后推动了SBOM的强制化趋势。
50%待验证美国在2021年Log4j漏洞事件后推动SBOM进入监管视野，行政令要求向联邦政府供货的软件厂商提供SBOM。
50%待验证当Log4Shell这类事件发生时，能从SBOM中秒级确认自己是否受影响，比在仓库里grep快得多。
50%待验证自更新机制破坏了企业的软件物料清单（SBOM）和版本锁定策略。
50%待验证制品溯源指在软件发布中记录构建产物来源、依赖版本、编译环境和签名信息，常见做法包括生成SBOM、校验和及构建日志。
50%待验证FDA在其2023年网络安全指南中明确要求医疗设备制造商在上市前提交SBOM（软件物料清单）
50%待验证SBOM以机器可读格式列出软件产品中所有开源和第三方组件及其版本信息，用于在新漏洞披露时快速评估设备是否受影响
50%待验证容器安全建议使用 Trivy 扫描漏洞、用 Cosign 校验签名并附带 SBOM 文件
50%