Plexicus XBOM unifica SBOM, CBOM y AIBOM en una única fuente de verdad — con declaraciones VEX, watchlists, detección de drift y exportaciones listas para estándares (CycloneDX, SPDX, PDF). Construido para EU CRA, CISA 2025, PCI DSS 6.3.2 y EU AI Act.
SBOM, CBOM y AIBOM responden a preguntas de auditoría diferentes. Plexicus los une para que el mismo componente, clave o modelo tenga una identidad a través de cada vista.
Librerías, paquetes y dependencias en cada repositorio — con categoría de licencia, estado VEX y procedencia adjuntos.
Algoritmos, tamaños de clave, primitivas y contexto — con puntuación de preparación cuántica frente a los plazos NIST 2030/2035.
Modelos, datasets, proveedores y flags de riesgo — incluyendo riesgo de serialización, licencias restringidas y model cards ausentes.
Haz clic en una pestaña BOM para cambiar la tabla en vivo — mismos filtros, mismo menú de exportación, misma acción VEX.
Datos de demostración sintéticos
| Componente | Versión | Repositorio | Licencia | Vulnerabilidades |
|---|---|---|---|---|
| lodash | 4.17.21 | sample-project/checkout | MIT | high CVE-2021-23337 |
| log4j-core | 2.14.1 | sample-project/payments | Apache-2.0 | critical CVE-2021-44228 |
| @types/node | 20.11.30 | sample-project/api | MIT | limpio |
| requests | 2.31.0 | sample-project/scanner | Apache-2.0 | low CVE-2023-32681 |
| Algoritmo | Tamaño de clave / Params | Repositorio | Clasificación |
|---|---|---|---|
| RSA-2048 | 2048-bit | sample-project/identity | quantum-vulnerable |
| AES-256-GCM | 256-bit | sample-project/payments | quantum-safe |
| ECDSA-P256 | 256-bit · NIST P-256 | sample-project/tokens | quantum-vulnerable |
| ChaCha20-Poly1305 | 256-bit | sample-project/api | quantum-safe |
| Modelo | Proveedor | Repositorio | Flags de riesgo |
|---|---|---|---|
| gpt-4o-mini | OpenAI | sample-project/copilot | API externa |
| claude-3.5-sonnet | Anthropic | sample-project/triage | API externa Sin ficha de modelo |
| all-MiniLM-L6-v2 | self-hosted (HuggingFace) | sample-project/search | Serialización insegura |
| whisper-large-v3 | self-hosted (HuggingFace) | sample-project/voice | Licencia restringida |
Elige el perfil que le importa a tu auditor. Plexicus construye el documento — con declaraciones VEX, watchlists y procedencia adjuntos.
SBOM + gestión de vulnerabilidades según Anexo I §2. Obligatorio para productos con elementos digitales desde 2027.
SBOM + VEX + campos de datos según los elementos mínimos de CISA para gestión de vulnerabilidades.
Inventario de componentes de software y activos criptográficos para sistemas de pago.
AIBOM con model cards, procedencia de dataset y clasificación de riesgo según Artículo 13.
Un SBOM CycloneDX sin VEX es ruido. Plexicus adjunta una declaración VEX a cada componente: affected, not_affected, fixed o under_investigation — con la justificación que esperan los auditores.
Una declaración por CVE por componente — no un único 'todo OK' global en el que ningún auditor confía.
Las justificaciones VEX referencian el camino de alcanzabilidad, el veredicto del agente y el commit origen. Sin mano alzada.
Exporta ambos formatos con la sección VEX embebida. Se integra directamente en una instancia de Dependency-Track o GUAC.
Importa un SBOM de proveedor + VEX en una sola carga. Plexicus reconcilia PURLs y muestra los componentes que realmente te pertenecen.
Vigila cualquier nombre, PURL o CVE. Plexicus escanea nuevos hallazgos contra tu watchlist en cada ciclo y te avisa en el momento en que hay coincidencia.
Plexicus compara cada escaneo contra el anterior del mismo repositorio — componentes añadidos, eliminados y cambiados, en segundos. El VEX se preserva a través del diff.
+ log4j-core 2.14.1 (nueva dependencia) Nueva dependencia añadida desde el último escaneo.
− requests 2.28.0 (actualizado) Fuera del inventario tras la actualización.
~ axios 0.27.2 → 1.6.2 (VEX: not_affected → fixed) Estado VEX actualizado junto con la versión.
CycloneDX, SPDX, atestación PDF, VEX machine-readable. Empuja a tu GRC, tu artefact store, tu Dependency-Track. Recibe desde proveedores.
BOM + VEX completo en un único documento. Se integra en Dependency-Track, GUAC o cualquier herramienta compatible con SBOM.
Exportación nativa SPDX para equipos legales y de compliance. PURLs, licencias y hashes preservados.
Perfil PDF listo para firmar para EU CRA BSI TR-03183-2, CISA 2025, PCI DSS 6.3.2 y EU AI Act.
Empuja BOMs a Drata, Vanta y Tugboat. Crea tickets en tu tracker desde una coincidencia de watchlist.
Solicita un walkthrough de 30 minutos. Importaremos un SBOM CycloneDX real, adjuntaremos una declaración VEX, ejecutaremos el perfil CRA y te entregaremos el PDF.
