代理 AI 的执行约束咨询自动化：可重复的 AIBOM 驱动的 CSAF-VEX 框架

提出了一种协议驱动框架，将 SBOM 和 AIBOM 工件与确定性环境捕获和结构化运行时遥测绑定在一起。可利用性是根据声明的工件、观察到的激活条件和强制执行策略来计算的。 CSAF VEX 建议是根据静态和运行时证据的组合生成的，经过加密签名，并通过确定性重放进行验证。评估使用合成 Agentic AI 工作负载（50 到 5000 个组件）中的大约 10000 个组件条目，并结合了 OSV、GitHub Advisory、KEV 和 EPSS 数据集。