将系统组件清单（SBOMs）转换为代理式应用程序组件清单（AIBOMs）：模式扩展、代理式编排及可复现性评估

《Digital Threats: Research and Practice》：SBOMs into Agentic AIBOMs: Schema Extensions, Agentic Orchestration, and Reproducibility Evaluation

软件供应链安全需动态执行环境下的可重复性和漏洞评估机制。传统SBOM仅提供静态依赖清单，无法捕获运行时行为与环境漂移。本文提出AI Bill of Materials（AIBOM）框架，通过自主受约束的推理扩展SBOM为主动 provenance 工具，集成环境重构、依赖漂移监控、策略感知漏洞评估三大智能代理，结合CSAF标准实现基于执行证据的漏洞上下文声明（VEX结构化表达），并最小化扩展CycloneDX/SPDX标准，实验验证其优于传统系统的动态依赖捕获、可重复性及漏洞稳定性，计算开销低。

　　

摘要人工智能摘要

要查看此由人工智能生成的摘要，您必须具有高级访问权限。

了解更多登录

摘要

摘要

软件供应链安全需要能够支持在动态执行条件下进行可重复性和漏洞评估的来源机制。传统的软件物料清单（SBOM）提供静态的依赖关系清单，但无法捕捉运行时行为、环境变化或可利用性上下文。本文介绍了基于智能代理的人工智能物料清单（AIBOM），通过自主的、受策略约束的推理将SBOM扩展为活跃的来源信息。我们提出了一个基于多代理架构的AIBOM框架，包括：（i）基线环境重建代理（MCP）；（ii）运行时依赖关系和变化监控代理（A2A）；以及（iii）具有策略感知能力的漏洞和VEX推理代理（AGNTCY）。这些代理通过结合运行时执行证据、依赖关系使用情况以及环境缓解措施，并利用ISO/IEC 20153:2025通用安全咨询框架（CSAF）v2.0的语义，生成上下文相关的可利用性断言。可利用性是通过结构化的VEX断言来表达的，而不是通过执行动作来体现的。该框架对CycloneDX和SPDX进行了最小化的、符合标准的模式扩展，同时保留了互操作性，能够捕捉执行上下文、依赖关系变化以及代理决策的来源信息。与现有的来源管理系统相比，评估结果显示，在异构分析工作负载中，该框架在运行时依赖关系的捕获、可重复性的准确性以及漏洞解释的稳定性方面都有所提升，且计算开销较低。消融实验进一步证实，每个代理都提供了确定性自动化无法实现的功能。

人工智能摘要

人工智能生成的摘要（实验性版本）

此摘要是使用自动化工具生成的，并非由文章作者撰写或审核。它旨在帮助读者发现相关内容、评估文章的相关性，并协助来自相关研究领域的读者理解文章内容。它是对作者提供的摘要的补充，作者提供的摘要仍是文章的正式摘要。完整文章才是权威版本。点击此处了解更多。

点击此处对摘要的准确性、清晰度和实用性进行评论。您的反馈将有助于改进未来的版本。

要查看此由人工智能生成的通俗语言摘要，您必须具有高级访问权限。