Waarom kan ik niet weten of wat er draait overeenkomt met wat mijn SBOM heeft verklaard?

SBOMs worden gegenereerd tijdens de build-fase en beschrijven wat een build beweerde te bevatten. Tegen de tijd dat software is uitgerold en actief is, kunnen afhankelijkheden zijn verschoven, laten statisch gelinkte bibliotheken geen runtime-spoor achter, en bestaat er geen standaard primitief om te verifiëren dat een actief proces overeenkomt met de gedeclareerde bill of materials. IBM's analyse uit 2025 van meer dan 35.000 SBOMs ontdekte dat 7.907 hiervan directe afhankelijkheden niet openbaar maakten, en de implementatiegids van ENISA uit december 2025 noemt runtime-drift een van de kernlacunes. Het gat tussen een ondertekende SBOM en een draaiende container wordt momenteel overbrugd door vertrouwen alleen.