널리 쓰이는 SBOM 생성 도구 3종을 JavaScript·Rust 프로젝트 3,000여 개에 돌려 비교한 연구가 나왔다. 같은 프로젝트인데도 도구마다 의존성 커버리지와 SBOM 완전성이 갈렸고, 연구진은 이 차이가 우연한 버그가 아니라 의존성 범위·명명·출처(provenance)·표현 방식을 다르게 해석한 데서 오는 체계적 편차라고 결론지었다. 구현을 개선해서 메울 수 있는 문제가 아니라 표준이 정규 규칙을 정해야 한다는 주장이다.
EU 사이버복원력법(CRA)에 따라 2027년 12월부터 SBOM 제출이 의무화되는 만큼, 어떤 도구를 쓰느냐가 그대로 미탐지 미준수로 이어질 수 있다. SBOM을 CI에 붙여둔 조직이라면 지금 쓰는 생성기의 의존성 범위 정의(개발 의존성·전이 의존성 포함 여부)를 문서로 확인해둘 필요가 있다.
출처: arXiv cs.CR