BOMs Away! Inside the Minds of Stakeholders: A Comprehensive Study of Bills of Materials for Software Systems
本文通过调查138名从业者并访谈8名受访者，系统识别了软件物料清单（SBOM）创建与使用中的12项主要挑战，并提出4个可操作的解决方案，为SBOM的未来研究和实践发展指明方向。
2023-09-22 cs.SE
Mind the Gap: How SBOM Specification Ambiguities Lead to Divergent Software Bills of Materials. An Empirical Tool Study
Univ. Rennes, Inria, CNRS, IRISA（雷恩大学、法国国家信息与自动化研究所、法国国家科学研究中心、IRISA）
本研究通过评估三种SBOM生成器在3000多个项目上的表现，揭示其差异主要源于规范歧义而非实现错误，并呼吁未来标准明确依赖范围、来源和表示规则以提升合规性。
2026-09-18 cs.CR cs.SE
Challenges of Producing Software Bill Of Materials for Java
本文研究了6款工具为复杂开源 Java 项目生成软件物料清单（SBOM）的准确性，揭示了在准确生成和使用 SBOM 方面面临的严峻挑战。
2023-06-07 cs.CR cs.SE
SBOM Challenges for Developers: From Analysis of Stack Overflow Questions
本文通过分析Stack Overflow上SBOM相关问题，揭示开发者使用SBOM时面临解决率低、问题持续增长及工具挑战三大问题。
2025-02-06 cs.SE
On the Way to SBOMs: Investigating Design Issues and Solutions in Practice
本研究通过分析510个项目的4786条GitHub讨论，揭示了SBOM实践中的关键主题、挑战与解决方案，并评估了常用生成工具，强调其在增强供应链安全中的关键作用。
2023-08-30 cs.SE
Hidden Dependencies and Component Variants in SBOM-Based Software Composition Analysis
Victoria University of Wellington（惠灵顿维多利亚大学）
本文研究了SBOM基础软件组成分析中隐藏代码级依赖和无法一致识别的组件变体问题，揭示了当前SBOM生产与消费的局限性，推动了更丰富的依赖表示和组件身份定义。
2026-04-23 cs.SE
Trust in Software Supply Chains: Blockchain-Enabled SBOM and the AIBOM Future
本文针对SBOM共享中的数据篡改和披露顾虑，提出区块链赋能的可验证凭证选择性披露架构，并将SBOM扩展至AI系统提出AIBOM概念，以保障现代关键基础设施中软件与AI供应链的安全。
2024-01-18 cs.SE
The State of the SBOM Tool Ecosystems: A Comparative Analysis of SPDX and CycloneDX
Queen’s University（女王大学）；Lahore University of Management Sciences（拉合尔管理科学大学）；Indian Institute of Technology Ropar (IIT-Ropar)（印度技术研究所罗帕尔分校（IIT-Ropar））；University of Waterloo（滑铁卢大学）
比较SPDX和CycloneDX两种SBOM格式的工具生态系统，分析108个开源和62个专有工具，发现CycloneDX项目开发者参与度更高，而SPDX工具生态更成熟、行业采用更广泛。
2026-06-12 cs.SE
Chain-of-Experts (CoE): Reverse Engineering Software Bills of Materials for JavaScript Application Bundles through Code Clone Search
针对JavaScript应用程序束逆向生成SBoM的挑战，本文提出多任务深度学习模型Chain-of-Experts (CoE)，通过代码分割、分类和克隆检索三个任务，首次为真实世界JavaScript应用束的SBoM生成提供了可扩展、高效且端到端的解决方案。
2024-08-29 cs.SE
sbom-unifier: Integration Framework for Heterogeneous SBOMs
Ritsumeikan University（立命馆大学）；Notre Dame Seishin University（圣母圣心女子大学）；The University of Fukuchiyama（福知山公立大学）；Toshiba Corporation（东芝株式会社）
sbom-unifier是异构SBOM的集成框架，通过PURL识别组件等方法提升SBOM完整性，在90个开源项目上使SPDX 2.3字段完全覆盖率提8个百分点、缺失率降11个百分点。
2026-09-01 cs.SE
Beyond Compliance: A Large Scale Study on the Completeness and Consistency of the GitHub SBOMs
REALISE Lab, Concordia University（康科迪亚大学 REALISE 实验室）
研究针对GitHub软件物料清单（SBOMs）展开，通过对10000个跨十种编程语言生态系统的GitHub仓库分析，对比其他工具，发现GitHub SBOMs存在问题，组件版本和许可信息依赖生态系统，还讨论了其潜在不足。
2026-07-07 cs.SE
Software Bill of Materials in Software Supply Chain Security A Systematic Literature Review
本文通过系统性文献综述分析40项研究，梳理SBOM在软件供应链安全中的五大应用领域、十一类采用障碍及其与ISO/IEC 25019质量模型的映射关系，并指出机器学习与质量保证技术应用不足等研究空白。
2025-06-05 cs.CR cs.SE
SBOM.EXE: Countering Dynamic Code Injection based on Software Bill of Materials in Java
本文提出 SBOM.EXE 系统，通过基于 Java 应用完整软件供应链构建运行时类白名单，阻止恶意或篡改类执行，并在 3 个真实开源应用中验证其能以极小性能开销有效缓解动态类加载攻击。
2024-06-28 cs.CR cs.SE
A Large Scale Empirical Analysis on the Adherence Gap between Standards and Tools in SBOM
Intelligent Software Research Center, Institute of Software, Chinese Academy of Sciences（中国科学院软件研究所智能软件研究中心）；University of Chinese Academy of Sciences（中国科学院大学）；Key Laboratory of System Software (Chinese Academy of Sciences)（中国科学院系统软件重点实验室）
本文通过大规模实证分析揭示了SBOM工具在符合标准规范方面的根本性不足，包括合规支持不足、工具一致性差及详细信息准确性低，并提供了解决方案。
2026-01-09 cs.SE
zkSBOM: Privacy-Preserving SBOM Sharing with Zero-Knowledge Sets
KTH Royal Institute of Technology（皇家理工学院）
zkSBOM通过零知识集实现隐私保护的SBOM共享，解决了现有机制在完整披露与完全封闭间的二元选择问题，通过加密承诺组件和查询已知漏洞来验证影响，保障双方隐私。
2026-04-30 cs.CR cs.SE
Towards Predicting Multi-Vulnerability Attack Chains in Software Supply Chains from Software Bill of Materials Graphs
University of Colorado Colorado Springs (UCCS)（科罗拉多大学科罗拉多斯普林斯分校 (UCCS)）
本文提出基于SBOM图学习的方法，通过构建异构图预测软件供应链中的多漏洞攻击链，验证结果显示模型在识别漏洞关联和预测攻击链方面具有高准确率。
2026-07-17 cs.CR cs.LG cs.SE
SBOM Generation Tools in the Python Ecosystem: an In-Detail Analysis
本文以 PyPI 生态系统为对象，使用 CycloneDX 标准分析四种 SBOM 生成工具，揭示影响 SBOM 完整性与正确性的依赖版本、元数据、远程及可选依赖等问题，并指出 PyPI 元数据标准缺失的系统性缺陷。
2024-09-02 cs.CR cs.SE
Implementing AI Bill of Materials (AI BOM) with SPDX 3.0: A Comprehensive Guide to Creating AI and Dataset Bill of Materials
本文提出了一种扩展SBOM的AI-BOM方法，用于记录AI项目中算法、数据收集方法及合规信息，以提高透明度和安全性。
2025-04-23 cs.AI cs.CR cs.SE
SBOMproof: Beyond Alleged SBOM Compliance for Supply Chain Security of Container Images
本研究评估了SBOM生成与漏洞扫描工具的互操作性，发现其不兼容导致漏洞漏报，并揭示了SBOM混淆漏洞，强调需提升SBOM准确性以保障容器供应链安全。
2025-10-07 cs.CR cs.SE
Cascaded Vulnerability Attacks in Software Supply Chains
University of Colorado Colorado Springs (UCCS)（科罗拉多大学科泉分校）
本文提出基于SBOM的异构图注意力网络，用于检测软件供应链中的级联漏洞链。
2026-01-28 cs.SE
VeriSBOM: Secure and Verifiable SBOM Sharing Via Zero-Knowledge Proofs
Newcastle University（纽卡斯尔大学）
VeriSBOM通过零知识证明实现安全且可验证的SBOM共享，保护知识产权并确保合规性。
2026-02-14 cs.CR cs.SE
Automating SBOM Generation with Zero-Shot Semantic Similarity
针对现有SBOM生成方法的不一致性，本文提出将SBOM生成视为语义相似度任务，利用transformer模型进行零样本分类，以自动化生成SBOM并防止供应链攻击，实验验证了其有效性。
2024-02-03 cs.CR cs.SE
UniBOM -- A Unified SBOM Analysis and Visualisation Tool for IoT Systems and Beyond
UniBOM是一种用于物联网系统及更广泛领域的统一SBOM分析与可视化工具，通过集成二进制、文件系统和源代码分析，提升漏洞检测与风险管理能力。
2025-11-27 cs.CR cs.SE
A Practical Solution to Systematically Monitor Inconsistencies in SBOM-based Vulnerability Scanners
University of Padua（帕多瓦大学）；Örebro University（厄勒布鲁大学）
本文提出SVS-TEST方法，用于系统监控基于SBOM的漏洞扫描器的不一致性，揭示SVS工具在可靠性与错误处理上的差异。
2025-12-19 cs.CR cs.SE
What You See Is Not What You Execute: Memory-Based Runtime SBOM Generation for Supply Chain Security
Virginia Commonwealth University（弗吉尼亚联邦大学）；Volatility Foundation（Volatility基金会）
针对现有SBOM无法捕获运行时组件的问题，提出MEM-SBOM内存取证框架，从Python应用运行时状态直接生成SBOM，实现100%提取准确率并发现遗漏依赖。
2026-06-29 cs.CR cs.SE
SBOMs into Agentic AIBOMs: Schema Extensions, Agentic Orchestration, and Reproducibility Evaluation
针对传统SBOM无法捕获运行时行为等问题，本文提出智能体AIBOM框架，通过三类多智能体架构扩展SBOM模式，在低开销下提升运行时依赖捕获、可复现性与漏洞解释稳定性。
2026-03-09 cs.AI cs.CR cs.SE
No Edges, No Verdict: A Large-Scale Empirical Study of Declared Dependency Graphs in 78K SBOMs in the Wild
KRYPTON Polska Sp. z o.o.（KRYPTON波兰有限公司）
该研究对78K个野生SBOM文件中的声明依赖图进行大规模特征描述，发现其分为三种情况。指出边的发出由生成器决定，规范级机制使用少。认为前两种情况推断不合理，提出改进方法并发布相关工具和数据集，提高了KEV召回率。
2026-11-05 cs.CR cs.SE
Poking Around in the Dark: Why a Shared Understanding of Components Matters
Ruhr University Bochum（波鸿鲁尔大学）；University of Cologne（科隆大学）；TU Braunschweig（布伦瑞克工业大学）；University of Innsbruck（因斯布鲁克大学）
本文通过分析软件物料清单（SBOM）生成工具对组件的定义和识别机制，揭示了当前工具在组件覆盖和一致性上的不足，指出缺乏对组件的共同理解将导致SBOM无法保障软件供应链安全。
2026-09-30 cs.CR cs.SE
Quantitative Toolchain Assurance
本文提出过程约简技术，构建定量工具链保证案例，以约简强度衡量工具链强度，弥补SBOM和SLSA在过程质量定量评估上的不足。
2023-08-30 cs.SE
VDGraph: A Graph-Theoretic Approach to Unlock Insights from SBOM and SCA Data
提出基于知识图谱的 VDGraph，融合 SBOM 与 SCA 数据并形式化处理冲突；对 21 个 Java 项目的实验揭示集中风险点及深层传递依赖漏洞规律。
2025-07-28 cs.CR cs.SE
AgentRiskBOM: A Risk-Scoping Security Bill of Materials for Agentic AI Systems
WAI USA Research Labs（WAI美国研究实验室）；WAI USA（WAI美国）
提出AgentRiskBOM，一种扩展SBOM/AIBOM/MLBOM的安全物料清单，通过添加运行时权限字段（自主性、工具权限、内存、凭证范围等）来填补智能体AI系统的能力透明度缺口，并在13个开源智能体上验证其覆盖率和检测能力。
2026-06-23 cs.AI cs.CR cs.SE
TAIBOM: Bringing Trustworthiness to AI-Enabled Systems
针对AI系统特征难以被现有SBOM框架捕捉、软件供应链可信保障不足的问题，提出TAIBOM框架，扩展SBOM至AI领域，提供结构化依赖模型等能力，优于现有标准，为可信可验证AI系统奠基。
2025-10-02 cs.CR cs.SE
Demystifying the Evolution of Neural Networks with BOM Analysis: Insights from a Large-Scale Study of 55,997 GitHub Repositories
针对神经网络软件演化分析缺乏适用物料清单的问题，提出NNBOM数据集，基于55,997个PyTorch仓库构建数据库，实证研究规模、复用与依赖演化，并开发两个原型应用。
2025-09-24 cs.SE
AIBoMGen: Generating an AI Bill of Materials for Secure, Transparent, and Compliant Model Training
IDLab, Department of Information Technology\ University - imec Ghent Belgium；IDLab, Department of Information Technology\ University - imec
AIBoMGen通过自动化生成带签名的AI物料清单，确保模型训练过程的安全性、透明性和合规性。
2026-01-09 cs.AI cs.CR cs.SE
Bomfather: An eBPF-based Kernel-level Monitoring Framework for Accurate Identification of Unknown, Unused, and Dynamically Loaded Dependencies in Modern Software Supply Chains
本文提出基于 eBPF 的内核级框架 Bomfather，通过实时透明捕获软件构建依赖并计算加密哈希与构建 Merkle 树，解决传统依赖跟踪不准确的问题，生成更精确的 SBOMs 和 ADGs，降低供应链风险。
2025-03-03 cs.CR cs.OS cs.SE
OmniBOR: A System for Automatic, Verifiable Artifact Resolution across Software Supply Chains
本文提出OmniBOR系统，通过构建制品依赖图追踪软件依赖，结合编译器和构建追踪两种实现方式，有效支持CVE检测与SBOM计算，保障软件供应链安全。
2024-02-14 cs.CR cs.SE
Building an Open AIBOM Standard in the Wild
Queen’s University（女王大学）；ADAPT Centre, Trinity College Dublin（ADAPT中心，都柏林三一学院）；IEEE（电气电子工程师学会）；The Linux Foundation（Linux基金会）
本文通过行动研究方法，在真实环境中构建了AIBOM规范，旨在为人工智能系统提供开放的标准框架。
2026-02-22 cs.SE
Skills Are Not Islands: Measuring Dependency and Risk in Agent Skill Supply Chains
Peking University（北京大学）；Zhongguancun Laboratory（中关村实验室）
提出智能体技能供应链（ASSC）概念，设计SkillDepAnalyzer工具从自然语言中提取依赖关系，在超143万技能上揭示四种结构模式和安全风险，建议类型化依赖清单和风险预警审计。
2026-07-02 cs.AI cs.SE
Tracking Down Software Cluster Bombs: A Current State Analysis of the Free/Libre and Open Source Software (FLOSS) Ecosystem
本研究分析FLOSS生态系统现状，针对包仓库关键依赖监控需求，提出现状分析方法，揭示高影响项目易受供应链攻击的问题，并指出接口等未来研究缺失要素。
2025-02-12 cs.CR cs.SE
Evaluating the Limitations of Local LLMs in Solving Complex Programming Challenges
本研究将FACE评估框架改造为基于Ollama的完全离线流水线，在3,589道Kattis题目上评估八个6.7-9B参数的本地LLM，发现其pass@1准确率约为Gemini 1.5和ChatGPT-4的一半，揭示了本地部署与专有服务之间的差距及开放模型的快速进步。
2025-09-18 cs.AI cs.LG cs.PL
Kozuchi Agent: A Language-Agnostic Open-Weight Agent for Software Repair
Fujitsu Research of America（美国富士通研究所）；Fujitsu Research（富士通研究所）；Fujitsu Research of Europe（欧洲富士通研究所）
本文提出Kozuchi智能体，一款与语言无关的开源权重软件修复智能体，结合CI评估流水线，在SWE-bench等基准上取得优异性能，降低操作接触点，为软件修复提供新方案。
2026-08-18 cs.AI cs.ET cs.PL
