実行中のものが自分のSBOMで宣言したものと一致するかどうか、なぜ知ることができないのか？

SBOMはビルド時に生成され、ビルドが含むと主張した内容を記述するものです。ソフトウェアがデプロイされて稼働する頃には、依存関係がドリフトしている可能性があり、静的リンクされたライブラリはランタイムの痕跡を残さず、稼働中のプロセスが宣言されたBOMと一致することを検証する標準的な手段もありません。IBMが2025年に35,000件以上のSBOMを分析したところ、7,907件が直接依存関係を開示していなかったことが判明し、ENISAの2025年12月の実装ガイドはランタイムドリフトをコアとなる未解決課題の一つとして挙げています。署名されたSBOMと実行中のコンテナの間のギャップは、現在のところ信頼のみによって埋められています。