该论文聚焦软件供应链治理中的一个现实矛盾:SBOM(软件物料清单)已成为企业架构中治理软件供应链的关键机制,但跨组织共享 SBOM 会暴露敏感的依赖信息(具体的第三方组件、版本、内部技术栈),出于商业机密与攻击面收敛的顾虑,供应商普遍不愿意完整披露,导致 SBOM 的实际采纳率受限。为破解这一矛盾,作者提出 TrustBOM:一套面向企业 CI/CD 工作流、可扩展且具备保密性的 SBOM 架构。其核心思想是把'披露完整依赖图'替换为'对消费者关心的命题做可验证声明'——软件提供方可以证明其软件中不存在特定漏洞或不存在受限制许可证的组件,而无需公开底层依赖图。技术手段是零知识非成员证明(zero-knowledge non-membership proofs):证明者在不泄露集合成员信息的前提下,证明某个元素(如某 CVE 对应组件、某受限许可证组件)不属于其依赖集合。这些证明并非全量生成,而是根据消费者定义的策略约束(consumer-defined policy constraints)选择性地触发与组合,即只对采购方/集成方真正关心的约束出证。架构设计上的关键卖点是可扩展性:证明生成的开销随断言的约束数量线性增长,而不是随 SBOM 自身规模(组件数量)增长,因此在组件动辄成百上千的大型企业环境中仍可保持可控成本。论文给出了实证评估:在通用商用硬件上呈现线性性能,平均每条约束的证明生成时间约为 0.9 秒,说明该方案在企业平台生态中部署是可行的。贡献可归纳为三点:形式化'保密 SBOM'这一跨组织信任问题并给出策略驱动的选择性证明模型;提出可线性扩展的证明生成架构并集成进 CI/CD;通过原型与基准测试验证性能可行性。适合读者:软件供应链安全与治理研究者、SBOM/VEX 标准实践者、隐私增强技术(尤其零知识证明)应用研究者,以及负责 DevSecOps 平台与制品准入架构的工程师。

该论文针对现代软件系统中加密资产缺乏结构化可见性的问题，提出了一种静态发现与评估方法。作者首先提出了加密材料、加密工件和加密调用的分类体系，并据此推导出可扩展的、与扫描器无关的规则库。然后实现了一个静态扫描器，应用这些规则生成面向CBOM（加密物料清单）的输出。评估分为两部分：在已知真实结果的合成基准上，资产发现的F1分数达到0.75，且能正确标注91%的预期弱点和漏洞；在包含十个部署服务的真实环境中，扫描器在六分钟内处理了57,610个文件，发现了370个加密资产，其中包括六个与CVE相关的漏洞和52个后量子迁移候选。由于真实环境的覆盖度是依据人工编制的参考清单而非穷举清单评估，结果具有实际意义。实验表明，基于分类驱动的静态发现能够为安全治理和后量子迁移规划提供实用的加密透明度。该工作的核心贡献在于建立了一套统一的加密资产分类体系和规则库，使得静态分析可以系统性地识别加密相关组件，帮助组织了解自身加密使用情况。适合软件工程、安全治理、后量子密码迁移规划相关研究人员和实践者阅读。