Från verkligheten
Vet ni vilka bibliotek som finns i er mjukvara – och vilka som är sårbara sedan i natt?
Ett mjukvaruregister som kontrollerar på nytt varje natt
Utgångsläge
Cyber Resilience Act kräver att tillverkare identifierar komponenterna i sin mjukvara; NIS2 kräver att väsentliga och viktiga verksamhetsutövare säkrar sin leveranskedja. De flesta får veta att det finns en ny sårbarhet först när de råkar bygga om eller när någon frågar.
Vad vi gjorde
Vi har byggt ett eget verktyg för det. Projekten registrerar sig själva via sin CI och levererar bara sin komponentförteckning (SBOM), aldrig källkod. Varje natt kontrolleras alla förteckningar mot aktuella sårbarhetsdata. En AI som körs lokalt klassificerar projekten och ställer följdfrågor; varje säkerhetsfynd förblir deterministiskt spårbart.
Resultat
En ny sårbarhet upptäcks även om ingen har byggt om. I bruk för våra egna system.
Vad vi har lärt oss
AI:n återger vad ett projekts dokumentation påstår, inte var projektet faktiskt körs. Därför är det fynden i det körande systemet som avgör hos oss, inte modellens bedömning: Determinism first, AI second.