仅靠SBOM无法揭示供应链攻击的影响范围

📋总体概括

一篇安全分析文章以近期Shai-Hulud npm供应链攻击事件为例，论证仅靠SBOM（软件物料清单）无法有效评估供应链攻击的影响范围。文章指出SBOM本质是静态清单，无法反映运行时实际依赖和代码动态加载情况，防御者需要实时掌握生产代码与受影响服务的可见性，才能在攻击发生时快速判断受影响面并及时响应，否则响应将严重滞后。