https://www.opensourceway.blog/tags/compliance-audit/Recent content in Compliance-Audit on 「开源之道」Hugozh-CNCopyright (c) 2016 - 2026, 「开源之道」·适兕; all rights reserved.Thu, 10 Sep 2026 04:39:29 +0800https://www.opensourceway.blog/posts/osbook-book-recommendation/grgic-2026-sbom-propagation-model-2026-09-10/Thu, 10 Sep 2026 04:39:29 +0800https://www.opensourceway.blog/posts/osbook-book-recommendation/grgic-2026-sbom-propagation-model-2026-09-10/Grgic, Maksimovic & Laskov (2026, arXiv 2609.05380, ARES 2026 Workshops) 提出软件供应链攻击的四阶段传播模型（结构暴露 → 漏洞类存在 → 代码可达性 → 污点路径分析），用 Syft / Trivy / cdxgen / Grype 四个主流开源 SBOM 工具对 Log4j 漏洞做实证——结果显示：开源 SBOM 工具系统性只覆盖 Stage 1 和 Stage 2，Stage 3 和 Stage 4 的能力在 SBOM 生态里根本不存在。这是开源合规审计『制度供给 < 制度需求』的第一个精确量化——也是 Black Duck 退出→信通院行政标准真空的技术实证注脚。