論文の概要: Mind the Gap: How SBOM Specification Ambiguities Lead to Divergent Software Bills of Materials. An Empirical Tool Study

• arxiv url: http://arxiv.org/abs/2609.19920v1
• Date: Thu, 17 Sep 2026 09:01:08 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-20 08:55:54.177872
• Title: Mind the Gap: How SBOM Specification Ambiguities Lead to Divergent Software Bills of Materials. An Empirical Tool Study
• Title（参考訳）: Mind the Gap: SBOM仕様の曖昧さが材料の多様化にどう貢献するか - 経験的ツールスタディ
• Abstract要約: 3,000以上のJavaScriptおよびRustプロジェクトで広く使用されている3つのSBOMジェネレータを評価した。 以上の結果から,これらのツールは依存性のカバレッジとSBOMの完全性の両方の観点から多岐にわたることが明らかとなった。 我々は、将来のSBOM標準は、相互運用性とコンプライアンスを改善するために、依存関係の範囲、証明、表現に関する標準ルールを定義するべきであると論じる。
• 参考スコア（独自算出の注目度）: 1.264453175002575
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Software Bill of Materials (SBOMs) will become mandatory starting in December 2027 under the European Cyber Resilience Act (CRA) [8]. Although previous studies have highlighted significant differences among SBOM generators, the reasons for these discrepancies remain unknown, as does whether they stem from implementation errors or deliberate design choices. In this paper, we evaluate three widely used SBOM generators across more than 3,000 JavaScript and Rust projects, using a groundtruth baseline derived from dependency lockfiles. Our results show that these tools diverge in terms of both dependency coverage and SBOM completeness. Importantly, most of these discrepancies are systematic rather than accidental: they arise from differing assumptions regarding dependency scope, naming, provenance, and representation, while others reflect inconsistent support for fields defined in SBOM specifications. These findings demonstrate that many of the observed discrepancies cannot simply be ''fixed'': they require clearer standardization. As SBOM generation becomes a legal compliance requirement, the choice of tool itself can influence the resulting SBOM, potentially becoming a source of undetected non-compliance. We argue that future SBOM standards should define canonical rules regarding dependency scope, provenance, and representation to improve interoperability and compliance.
• Abstract（参考訳）: SBOM(Software Bill of Materials)は、2027年12月、欧州サイバーレジリエンス法(CRA)[8]に基づき、義務化される。 以前の研究では、SBOMジェネレータ間で大きな違いが指摘されているが、これらの相違の原因は、実装エラーや意図的な設計選択に由来するか、不明である。 本稿では、依存性ロックファイルから派生したベースラインを用いて、3,000以上のJavaScriptおよびRustプロジェクトで広く使用されている3つのSBOMジェネレータを評価した。 以上の結果から,これらのツールは依存性のカバレッジとSBOMの完全性の両方の観点から多岐にわたることが明らかとなった。 重要なことに、これらの相違のほとんどは偶然ではなく体系的である:それらは依存関係の範囲、命名、証明、表現に関する異なる仮定から生じ、一方、SBOM仕様で定義されたフィールドに対する一貫性のないサポートを反映している。 これらの結果は、観察された多くの相違点が単に'固定'できないことを示しており、より明確な標準化が必要である。 SBOM生成は法的なコンプライアンス要件となるため、ツールの選択自体が結果のSBOMに影響を与える可能性がある。 我々は、将来のSBOM標準は、相互運用性とコンプライアンスを改善するために、依存関係の範囲、証明、表現に関する標準ルールを定義するべきであると論じる。

関連論文リスト

• COSMO: Consensus-Driven Shift Modulation for Source-Free Domain Adaptation [79.43842208099619]
  ソースフリードメイン適応(SFDA)は、ソースデータなしでラベルなしのターゲットドメインにソーストレーニングされたモデルを適用する。 VLM誘導型SFDAを標本単位の信頼性割当問題として定式化する。 本稿では,専門家から専門家への指導を協調適応に置き換えるために,COSMO(Consensus-Driven Shift Modulation)を提案する。
  論文  参考訳（メタデータ） (2026-08-05T09:10:30Z)
• TAPO: Tool-Aware Policy Optimization via Credit Transfer for Multimodal Search Agents [54.08846865906602]
  ツール強化マルチモーダルサーチエージェントにおいて,クレジットミス割り当てをGRPOの系統的障害モードとして特徴付ける。 本稿では,情報取得ツールのパラメータ決定性を利用したツール・アウェア・ポリシー・オプティマイズ(TAPO)を提案する。
  論文  参考訳（メタデータ） (2026-06-04T07:15:43Z)
• LiveFMBench: Unveiling the Power and Limits of Agentic Workflows in Specification Generation [75.05397479715576]
  大規模言語モデル(LLM)とエージェントは有望な進歩を示しているが、その真の能力と失敗モードは未だ不明である。 CプログラムのためのLCMおよびエージェントベースの形式仕様生成に関する、最初の体系的および汚染に配慮した研究を提案する。
  論文  参考訳（メタデータ） (2026-05-02T11:31:33Z)
• Hidden Dependencies and Component Variants in SBOM-Based Software Composition Analysis [0.7057291175356535]
  SBOM(Software Bills of Materials)は、サプライチェーンの攻撃が激化する中で、脆弱性管理の重要な技術として登場した。 本稿では,コンポーネントレベルの依存関係として表現されない隠されたコードレベルの依存関係と,スキャナによって一貫した識別ができないコンポーネントの変種(クローン)の2つのミスマッチパターンについて検討する。 これらのミスマッチは、一般的なSBOMベースの脆弱性スキャナー間での、一貫性のない脆弱性レポートとステートメントの一貫性のないハンドリングにつながる可能性がある。
  論文  参考訳（メタデータ） (2026-04-23T04:46:41Z)
• A Large Scale Empirical Analysis on the Adherence Gap between Standards and Tools in SBOM [54.38424417079265]
  ソフトウェア・ビル・オブ・マテリアル(Software Bill of Materials, SBOM)は、ソフトウェア情報を整理する機械読み取り可能なアーティファクトである。 標準に従って、組織はSBOMの生成と利用のためのツールを開発した。 本稿では,我々の自動評価フレームワークであるSAPを用いて,接着ギャップの大規模2段階解析を行った。
  論文  参考訳（メタデータ） (2026-01-09T08:26:05Z)
• Policy-driven Software Bill of Materials on GitHub: An Empirical Study [14.398115591070727]
  ソフトウェア・ビル・オブ・マテリアル(Software Bill of Materials、SBOM)は、ソフトウェアに含まれるすべてのソフトウェア依存関係の機械可読リストである。 政府がSBOMを使用する義務があるにもかかわらず、このアーティファクトの研究はまだ初期段階にある。
  論文  参考訳（メタデータ） (2025-09-01T08:45:39Z)
• Retrieval-Augmented Generation with Conflicting Evidence [57.66282463340297]
  大規模言語モデル (LLM) エージェントは、応答の事実性を改善するために、検索強化世代 (RAG) をますます採用している。 実際には、これらのシステムは曖昧なユーザクエリを処理し、複数のソースからの情報に衝突する可能性がある。 RAMDocs(Retrieval with Ambiguity and Misinformation in Documents)は,ユーザクエリのエビデンスを矛盾させるような,複雑で現実的なシナリオをシミュレートする新しいデータセットである。
  論文  参考訳（メタデータ） (2025-04-17T16:46:11Z)
• Supply Chain Insecurity: The Lack of Integrity Protection in SBOM Solutions [0.0]
  SBOM(Software Bill of Materials)は、ソフトウェアサプライチェーンのセキュリティを確保するための最重要事項である。 ビデン大統領が発した大統領令により、SBOMの採用は米国内で義務化されている。 我々は、SBOMのアウトプットに組み込むことができる信頼について、より深く、体系的に調査する。
  論文  参考訳（メタデータ） (2024-12-06T15:52:12Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。