Plexicus XBOM unifica SBOM, CBOM y AIBOM en una única fuente de verdad — con declaraciones VEX, watchlists, detección de drift y exportaciones listas para estándares (CycloneDX, SPDX, PDF). Construido para EU CRA, CISA 2025, PCI DSS 6.3.2 y EU AI Act.
SBOM, CBOM y AIBOM responden a preguntas de auditoría diferentes. Plexicus los une para que el mismo componente, clave o modelo tenga una identidad a través de cada vista.
Librerías, paquetes y dependencias en cada repositorio — con categoría de licencia, estado VEX y procedencia adjuntos.
Algoritmos, tamaños de clave, primitivas y contexto — con puntuación de preparación cuántica frente a los plazos NIST 2030/2035.
Modelos, datasets, proveedores y flags de riesgo — incluyendo riesgo de serialización, licencias restringidas y model cards ausentes.
Switch inventory views to review components, cryptographic assets, and AI model dependencies.
Synthetic demo data
| Component | Version | Repository | License | Vulnerabilities |
|---|---|---|---|---|
| lodash | 4.17.21 | sample-project/checkout | MIT | high CVE-2021-23337 |
| log4j-core | 2.14.1 | sample-project/payments | Apache-2.0 | critical CVE-2021-44228 |
| @types/node | 20.11.30 | sample-project/api | MIT | clean |
| requests | 2.31.0 | sample-project/scanner | Apache-2.0 | low CVE-2023-32681 |
| Algorithm | Key size / Params | Repository | Quantum classification |
|---|---|---|---|
| RSA-2048 | 2048-bit | sample-project/identity | quantum-vulnerable |
| AES-256-GCM | 256-bit | sample-project/payments | quantum-safe |
| ECDSA-P256 | 256-bit · NIST P-256 | sample-project/tokens | quantum-vulnerable |
| ChaCha20-Poly1305 | 256-bit | sample-project/api | quantum-safe |
| Model | Provider | Repository | Risk flags |
|---|---|---|---|
| gpt-4o-mini | OpenAI | sample-project/copilot | External API |
| claude-3.5-sonnet | Anthropic | sample-project/triage | External API No model card |
| all-MiniLM-L6-v2 | self-hosted (HuggingFace) | sample-project/search | Unsafe serialisation |
| whisper-large-v3 | self-hosted (HuggingFace) | sample-project/voice | Restricted licence |
Pick the profile your auditor needs. Plexicus prepares a clear document with status, evidence, and provenance.
SBOM + gestión de vulnerabilidades según Anexo I §2. Obligatorio para productos con elementos digitales desde 2027.
SBOM + VEX + campos de datos según los elementos mínimos de CISA para gestión de vulnerabilidades.
Inventario de componentes de software y activos criptográficos para sistemas de pago.
AIBOM con model cards, procedencia de dataset y clasificación de riesgo según Artículo 13.
A BOM is useful when each component carries a clear status, reason, and next action for the reviewer.
Una declaración por CVE por componente — no un único 'todo OK' global en el que ningún auditor confía.
Each status includes the supporting evidence and reason a reviewer can inspect.
Exporta ambos formatos con la sección VEX embebida. Se integra directamente en una instancia de Dependency-Track o GUAC.
Importa un SBOM de proveedor + VEX en una sola carga. Plexicus reconcilia PURLs y muestra los componentes que realmente te pertenecen.
Vigila cualquier nombre, PURL o CVE. Plexicus escanea nuevos hallazgos contra tu watchlist en cada ciclo y te avisa en el momento en que hay coincidencia.
Plexicus compara cada escaneo contra el anterior del mismo repositorio — componentes añadidos, eliminados y cambiados, en segundos. El VEX se preserva a través del diff.
+ log4j-core 2.14.1 (nueva dependencia) New dependency added since last scan.
− requests 2.28.0 (actualizado) Out of inventory after upgrade.
~ axios 0.27.2 → 1.6.2 (VEX: not_affected → fixed) VEX status updated alongside version bump.
CycloneDX, SPDX, atestación PDF, VEX machine-readable. Empuja a tu GRC, tu artefact store, tu Dependency-Track. Recibe desde proveedores.
BOM + VEX completo en un único documento. Se integra en Dependency-Track, GUAC o cualquier herramienta compatible con SBOM.
Exportación nativa SPDX para equipos legales y de compliance. PURLs, licencias y hashes preservados.
Perfil PDF listo para firmar para EU CRA BSI TR-03183-2, CISA 2025, PCI DSS 6.3.2 y EU AI Act.
Empuja BOMs a Drata, Vanta y Tugboat. Crea tickets en tu tracker desde una coincidencia de watchlist.
Solicita un walkthrough de 30 minutos. Importaremos un SBOM CycloneDX real, adjuntaremos una declaración VEX, ejecutaremos el perfil CRA y te entregaremos el PDF.
