Pourquoi ne puis-je pas savoir si ce qui s'exécute correspond à ce que ma SBOM a déclaré ?

Les SBOM sont générées au moment de la compilation et décrivent ce qu'un build prétendait contenir. Au moment où le logiciel est déployé et en cours d'exécution, les dépendances peuvent avoir dérivé, les bibliothèques liées statiquement ne laissent aucune trace à l'exécution, et il n'existe aucune primitive standard pour vérifier qu'un processus en cours correspond à sa nomenclature de composants déclarée. L'analyse IBM 2025 portant sur plus de 35 000 SBOM a révélé que 7 907 d'entre elles n'avaient pas divulgué leurs dépendances directes, et le guide de mise en oeuvre ENISA de décembre 2025 identifie la dérive à l'exécution comme l'une des lacunes fondamentales. L'écart entre une SBOM signée et un conteneur en cours d'exécution n'est actuellement comblé que par la confiance.