O Plexicus XBOM unifica SBOM, CBOM e AIBOM em uma única fonte de verdade — com declarações VEX, watchlists, detecção de drift e exports prontos para os padrões (CycloneDX, SPDX, PDF). Pronto para o EU CRA, CISA 2025, PCI DSS 6.3.2 e o EU AI Act.
SBOM, CBOM e AIBOM respondem a perguntas de auditoria diferentes. O Plexicus conecta os três para que o mesmo componente, chave ou modelo tenha uma única identidade em todas as visões.
Bibliotecas, pacotes e dependências em todos os repositórios — com categoria de licença, status VEX e proveniência anexados.
Algoritmos, tamanhos de chave, primitivas e contexto — com pontuação de prontidão quântica conforme os prazos do NIST 2030/2035.
Modelos, datasets, provedores e flags de risco — incluindo risco de serialização, licenças restritas e model cards ausentes.
Alterne as vistas de inventário para rever componentes, ativos criptográficos e dependências de modelos de IA.
Dados sintéticos de demonstração
| Componente | Versão | Repositório | Licença | Vulnerabilidades |
|---|---|---|---|---|
| lodash | 4.17.21 | sample-project/checkout | MIT | alto CVE-2021-23337 |
| log4j-core | 2.14.1 | sample-project/payments | Apache-2.0 | crítico CVE-2021-44228 |
| @types/node | 20.11.30 | sample-project/api | MIT | limpo |
| requests | 2.31.0 | sample-project/scanner | Apache-2.0 | baixo CVE-2023-32681 |
| Algoritmo | Tamanho da chave / parâmetros | Repositório | Classificação |
|---|---|---|---|
| RSA-2048 | 2048-bit | sample-project/identity | vulnerável ao quântico |
| AES-256-GCM | 256-bit | sample-project/payments | seguro contra quântico |
| ECDSA-P256 | 256-bit · NIST P-256 | sample-project/tokens | vulnerável ao quântico |
| ChaCha20-Poly1305 | 256-bit | sample-project/api | seguro contra quântico |
| Modelo | Provedor | Repositório | Sinais de risco |
|---|---|---|---|
| gpt-4o-mini | OpenAI | sample-project/copilot | API externa |
| claude-3.5-sonnet | Anthropic | sample-project/triage | API externa Sem ficha do modelo |
| all-MiniLM-L6-v2 | self-hosted (HuggingFace) | sample-project/search | Serialização insegura |
| whisper-large-v3 | self-hosted (HuggingFace) | sample-project/voice | Licença restrita |
Escolha o perfil de que o seu auditor precisa. O Plexicus prepara um documento claro com estado, evidência e proveniência.
SBOM + tratamento de vulnerabilidades conforme o Annex I §2. Obrigatório para produtos com elementos digitais a partir de 2027.
SBOM + VEX + campos de dados conforme os elementos mínimos da CISA para gestão de vulnerabilidades.
Inventário de componentes de software e ativos criptográficos para sistemas de pagamento.
AIBOM com model cards, proveniência de dataset e classificação de risco conforme o Artigo 13.
Uma BOM é útil quando cada componente tem um estado claro, motivo e próxima ação para o revisor.
Uma declaração por CVE por componente — não um 'tudo certo' global em que nenhum auditor confia.
Cada estado inclui a evidência de suporte e o motivo que um revisor pode analisar.
Exporta ambos os formatos com a seção VEX embutida. Carregue direto em uma instância do Dependency-Track ou GUAC.
Importe um SBOM + VEX de fornecedor em um único upload. O Plexicus reconcilia os PURLs e destaca os componentes que você realmente possui.
Monitore qualquer nome, PURL ou CVE. O Plexicus verifica novos achados contra sua watchlist a cada ciclo e notifica você no instante em que ocorre um match.
O Plexicus compara cada scan com o anterior do mesmo repositório — componentes adicionados, removidos e alterados, exibidos em segundos. O VEX é preservado no diff.
+ log4j-core 2.14.1 (nova dependência) Nova dependência adicionada desde o último scan.
− requests 2.28.0 (atualizado) Fora do inventário após a atualização.
~ axios 0.27.2 → 1.6.2 (VEX: not_affected → fixed) Estado VEX atualizado junto com a versão.
CycloneDX, SPDX, atestado em PDF, VEX legível por máquina. Envie para seu GRC, seu repositório de artefatos, seu Dependency-Track. Receba de fornecedores.
BOM + VEX completos em um único documento. Carregue no Dependency-Track, GUAC ou qualquer ferramenta compatível com SBOM.
Export nativo em SPDX para equipes jurídicas e de compliance. PURLs, licenças e hashes preservados.
Perfil PDF pronto para assinatura para EU CRA BSI TR-03183-2, CISA 2025, PCI DSS 6.3.2 e EU AI Act.
Envie BOMs para Drata, Vanta e Tugboat. Crie tickets no seu rastreador a partir de um match na watchlist.
Agende uma demonstração de 30 minutos. Importaremos um SBOM CycloneDX real, anexaremos uma declaração VEX, executaremos o perfil CRA e entregaremos o PDF.
