Trace-AI

Trace-AI とは

Trace-AI はサプライチェーンセキュリティのツールである。リポジトリからリアルタイムの SBOM を生成し、生の CVE 件数ではなく悪用の状況を考慮してリスクをスコア化し、ライセンスコンプライアンスを確認し、API・SDK・SLA の状態といったベンダーの文脈を追跡する。

サイトは最初のリポジトリが無料であるとしている。

できること

• CycloneDX または SPDX の SBOM を生成する
• 悪用可能性で脆弱性を優先する
• 依存関係のライセンスを確認する
• 第三者ベンダーへの晒しを監視する

向いている人

• 開発チームとセキュリティチーム
• SBOM の証拠を必要とする組織
• サプライチェーンコンプライアンスを管理するチーム

注意点

• SBOM の出力は証拠であり、依存が安全であることの保証ではない
• 悪用可能性のスコアは自組織の文脈と脅威モデルと照らして確認する必要がある
• リポジトリのスキャンはコードへのアクセスを与えるため、範囲を絞る
• 現在の無料上限と料金を確認する