Mengapa saya tidak dapat mengetahui apakah yang sedang berjalan sesuai dengan apa yang dideklarasikan SBOM saya?

SBOM dihasilkan pada waktu build dan mendeskripsikan apa yang diklaim oleh build tersebut. Pada saat perangkat lunak di-deploy dan berjalan, dependensi mungkin sudah bergeser, pustaka yang ditaut secara statis tidak meninggalkan jejak runtime, dan tidak ada primitif standar untuk memverifikasi bahwa proses yang berjalan sesuai dengan bill of materials yang telah dideklarasikannya. Analisis IBM tahun 2025 terhadap lebih dari 35.000 SBOM menemukan 7.907 di antaranya gagal mengungkapkan dependensi langsung, dan panduan implementasi ENISA Desember 2025 menyebut pergeseran runtime sebagai salah satu celah inti yang masih terbuka. Celah antara SBOM yang ditandatangani dan container yang berjalan saat ini hanya dijembatani oleh kepercayaan semata.