VEX
Vulnerability Exploitability eXchange — un format lisible par machine dans lequel l'éditeur déclare : « ce CVE présent dans notre SBOM ne s'applique PAS / est corrigé / est en cours d'analyse ». Élimine les faux positifs des scanners de CVE.
Motivation : un SBOM énumère tout le code, dépendances transitives comprises, et le scanner de CVE se déclenche à chaque correspondance. Dans la réalité, votre code n'APPELLE souvent pas la fonction vulnérable. VEX permet à l'éditeur de dire « not_affected — la fonction vulnérable n'est pas utilisée ». Valeurs de statut : not_affected, affected, fixed, under_investigation. Formats : CSAF (OASIS, XML/JSON), OpenVEX (CNCF, JSON minimal), CycloneDX intégré. Permet aux outils SCA modernes de distinguer l'exposition « possible » de l'exposition « réelle ».