自動車メーカーが機械可読な CycloneDX/SPDX ソフトウェア部品表（SBOM）を自動生成し、オープンソースの CVE 脆弱性をトリアージして緊急 OTA パッチを迅速配信する実務体制。
車載ソフトウェアのソースコードをスキャンすると、数千件の CVE 脆弱性が検出されます。しかしその 95% は、該当するコンパイルフラグが無効化されていたり、コンパイラのデッドコード削除によりバイナリから完全に除外されているため、実車環境では悪用不可能です。車載 PSIRT は VEX（脆弱性悪用可能表明）ドキュメントを活用し、実害のないアラートを「影響なし」として機械的に除外。開発リソースを真に危険な脆弱性の修正へ集中させます。