Tại sao tôi không thể biết liệu những gì đang chạy có khớp với những gì SBOM của tôi đã khai báo không?
Cơ hội
SBOM được tạo ra tại thời điểm build và mô tả những gì mà quá trình build tuyên bố chứa. Đến khi phần mềm được triển khai và chạy, các dependency có thể đã bị lệch, các thư viện liên kết tĩnh không để lại dấu vết nào lúc runtime, và không có primitive tiêu chuẩn nào để xác minh rằng một tiến trình đang chạy khớp với danh sách vật liệu đã khai báo. Phân tích năm 2025 của IBM trên hơn 35.000 SBOM phát hiện 7.907 SBOM không khai báo các dependency trực tiếp, và hướng dẫn triển khai tháng 12 năm 2025 của ENISA gọi sự lệch lạc runtime là một trong những khoảng trống mở cốt lõi. Khoảng cách giữa một SBOM đã ký và một container đang chạy hiện chỉ được lấp đầy bằng niềm tin.
Tại sao quan trọng
Các quy định tại EU và Mỹ hiện đã bắt buộc phải có SBOM, nhưng nếu không có chứng thực runtime, chúng chỉ là một tài liệu kiểm toán, không phải là một biện pháp kiểm soát bảo mật.
Cách tôi đánh giá cơ hội
Điểm Cơ Hội là đánh giá riêng của tôi, không phải một phép đo chính xác: mức độ gây khó chịu, tần suất xuất hiện và sự khan hiếm của giải pháp hiện có. Điểm càng cao, tôi càng cho rằng vấn đề đó càng đáng để xây dựng.
Mức độ phiền toái nó gây ra khi xuất hiện.
Tần suất mọi người thực sự gặp phải nó.
Có rất ít công cụ tốt để xử lý nó hiện nay.
Thêm các vấn đề đáng giải quyết
Tại sao phần mềm mà chúng ta phụ thuộc nhiều nhất lại là phần mềm tệ nhất để sử dụng?
TechTại sao tôi vẫn không sở hữu bất kỳ dữ liệu nào mình tạo ra?
TechTại sao tôi không thể nhận được biên lai chứng minh dữ liệu của tôi đã thực sự bị xóa?
TechWhy does my AI agent route European health data through a US server without warning?
TechTại sao mỗi chuỗi xuất xứ C2PA đều bị phá vỡ ngay khi nội dung lên mạng xã hội?
TechTại sao các bài kiểm thử do AI tạo ra lại thông qua với chính những lỗi mà chúng được tạo ra để phát hiện?