Plexicus XBOM unifie SBOM, CBOM et AIBOM dans une source unique de vérité — avec déclarations VEX, listes de surveillance, détection de dérive et exports conformes aux standards (CycloneDX, SPDX, PDF). Conçu pour l'EU CRA, CISA 2025, PCI DSS 6.3.2 et l'EU AI Act.
Les SBOM, CBOM et AIBOM répondent chacun à une question d'audit différente. Plexicus les assemble pour que le même composant, la même clé ou le même modèle ait une identité unique dans toutes les vues.
Bibliothèques, paquets et dépendances dans tous les dépôts — avec catégorie de licence, statut VEX et provenance attachés.
Algorithmes, tailles de clé, primitives et contexte — avec scoring de préparation quantique face aux échéances NIST 2030/2035.
Modèles, jeux de données, fournisseurs et indicateurs de risque — y compris risque de sérialisation, licences restreintes et fiches de modèle manquantes.
Changez de vue d'inventaire pour examiner les composants, les actifs cryptographiques et les dépendances de modèles d'IA.
Données de démo synthétiques
| Composant | Version | Dépôt | Licence | Vulnérabilités |
|---|---|---|---|---|
| lodash | 4.17.21 | sample-project/checkout | MIT | élevé CVE-2021-23337 |
| log4j-core | 2.14.1 | sample-project/payments | Apache-2.0 | critique CVE-2021-44228 |
| @types/node | 20.11.30 | sample-project/api | MIT | propre |
| requests | 2.31.0 | sample-project/scanner | Apache-2.0 | faible CVE-2023-32681 |
| Algorithme | Taille de clé / paramètres | Dépôt | Classification |
|---|---|---|---|
| RSA-2048 | 2048-bit | sample-project/identity | vulnérable au quantique |
| AES-256-GCM | 256-bit | sample-project/payments | sûr face au quantique |
| ECDSA-P256 | 256-bit · NIST P-256 | sample-project/tokens | vulnérable au quantique |
| ChaCha20-Poly1305 | 256-bit | sample-project/api | sûr face au quantique |
| Modèle | Fournisseur | Dépôt | Indicateurs de risque |
|---|---|---|---|
| gpt-4o-mini | OpenAI | sample-project/copilot | API externe |
| claude-3.5-sonnet | Anthropic | sample-project/triage | API externe Aucune fiche de modèle |
| all-MiniLM-L6-v2 | self-hosted (HuggingFace) | sample-project/search | Sérialisation non sûre |
| whisper-large-v3 | self-hosted (HuggingFace) | sample-project/voice | Licence restreinte |
Choisissez le profil dont votre auditeur a besoin. Plexicus prépare un document clair avec statut, preuves et provenance.
SBOM + traitement des vulnérabilités selon Annexe I §2. Obligatoire pour les produits avec éléments numériques à partir de 2027.
SBOM + VEX + champs de données selon les éléments minimaux CISA pour la gestion des vulnérabilités.
Inventaire des composants logiciels et actifs cryptographiques pour les systèmes de paiement.
AIBOM avec fiches de modèle, provenance de jeu de données et classification de risque par Article 13.
Une BOM est utile lorsque chaque composant porte un statut clair, une justification et une prochaine action pour le relecteur.
Une déclaration par CVE et par composant — pas un simple « tout va bien » global auquel aucun auditeur ne se fie.
Chaque statut inclut les preuves à l'appui et la justification qu'un relecteur peut examiner.
Exporte les deux formats avec la section VEX intégrée. À intégrer directement dans une instance Dependency-Track ou GUAC.
Importez un SBOM + VEX fournisseur en un seul chargement. Plexicus rapproche les PURL et met en évidence les composants que vous détenez réellement.
Surveillez n'importe quel nom, PURL ou CVE. Plexicus confronte les nouvelles constatations à votre liste de surveillance à chaque cycle et vous alerte dès qu'une correspondance est trouvée.
Plexicus compare chaque analyse à la précédente pour le même dépôt — composants ajoutés, supprimés et modifiés, signalés en quelques secondes. Le VEX est préservé à travers le diff.
+ log4j-core 2.14.1 (nouvelle dépendance) Nouvelle dépendance ajoutée depuis la dernière analyse.
− requests 2.28.0 (mis à niveau) Sortie de l'inventaire après la mise à niveau.
~ axios 0.27.2 → 1.6.2 (VEX : not_affected → corrigé) Statut VEX mis à jour avec la version.
CycloneDX, SPDX, attestation PDF, VEX lisible par machine. Envoyez vers votre GRC, votre magasin d'artefacts, votre Dependency-Track. Récupérez depuis vos fournisseurs.
BOM complet + VEX dans un seul document. À intégrer dans Dependency-Track, GUAC ou tout outil compatible SBOM.
Export natif SPDX pour les équipes juridiques et conformité. PURL, licences et hachages préservés.
Profil PDF prêt à signer pour EU CRA BSI TR-03183-2, CISA 2025, PCI DSS 6.3.2 et EU AI Act.
Envoyez les BOM vers Drata, Vanta et Tugboat. Créez des tickets dans votre outil de suivi depuis une correspondance de liste de surveillance.
Réservez une démonstration de 30 minutes. Nous importerons un vrai SBOM CycloneDX, joindrons une déclaration VEX, exécuterons le profil CRA et vous remettrons le PDF.
