附錄 B：與 OWASP CycloneDX 及 AIBOM 的關係

Appendix B - Relationship to OWASP CycloneDX and AIBOM

OWASP CycloneDX 專案提供一套已在全球採用的物料清單（Bill of Materials，BOM）標準，讓軟體、硬體與機器學習元件在整個供應鏈中具備可見性與來源可追溯性。它定義如何透過結構化的 SBOM、ML-BOM 與 AI-BOM 格式，識別與交換元件資料，包括相依項目、版本與來源資訊。

OWASP Agentic AI Top 10 建立在這項基礎之上，處理由行為與自主性所驅動、超出靜態元件清冊的風險。CycloneDX 協助組織回答「我的 AI 系統中有哪些元件與工具？」；Agentic AI Top 10 與 AIVSS 評分框架則處理「這些元件與自主 Agent 可能如何行動、互動，或以不安全的方式失效？」

兩項倡議合在一起，提供 AI 安全的統一視角：CycloneDX 建立供應鏈透明度與來源可追溯性；Agentic AI Top 10 則為 Agentic 系統加入威脅認知、行為保障與緩解措施對照。將 AIVSS 評分與 Agentic 威脅模型整合進 CycloneDX SBOM 資料，可從元件信任一路到 Agentic 行為進行持續性的風險評估，強化整個 AI 生命週期的安全保障。

對新近出現的 AIBOM OWASP Project，待其進一步發展後，我們也會採取類似作法。

原作：OWASP Top 10 For Agentic Applications 2026
專案：OWASP Gen AI Security Project - Agentic Security Initiative
授權：CC BY-SA 4.0
本翻譯為非官方繁體中文版本，並依 CC BY-SA 4.0 授權釋出。