CycloneDX

Steve Springett maakte het formaat in 2017 voor zijn tool Dependency-Track, die precies moest weten welke componenten een applicatie bevatte om er kwetsbaarheden bij op te zoeken. Het werd een OWASP-project en is, naast SPDX, een van de twee dominante SBOM-formaten. SPDX groeide op in de licentiewereld en CycloneDX in de beveiligingswereld, en dat is aan de gekozen velden te zien. In 2024 werd het gestandaardiseerd als ECMA-424.

Het formaat is inmiddels ver buiten de codeinventarisatie gegroeid. Hetzelfde schema dekt VEX-verklaringen over de vraag of een kwetsbaarheid daadwerkelijk uitbuitbaar is, afhankelijkheden van diensten, hardware, machinelearningmodellen en de cryptografische algoritmen die een systeem gebruikt. Het kan als JSON, XML of Protocol Buffers worden geschreven en wordt geproduceerd door tools als Syft. Meestal wordt het door andere tools gelezen.