완성차 제조사가 기계 가독형 CycloneDX/SPDX 소프트웨어 자재명세서(SBOM)를 자동 생성하고, 오픈소스 CVE 취약점을 신속히 분류하여 긴급 OTA 보안 패치를 배포하는 실무 운영 체계.
차량용 소프트웨어 전체를 취약점 데이터베이스와 대조하면 수천 건의 CVE 경보가 발생합니다. 그러나 이 중 95% 이상은 컴파일 옵션이 비활성화되었거나 컴파일러의 데드 코드 제거 최적화로 인해 바이너리에 포함되지 않아 실제 차량에서는 악용이 불가능합니다. 차량용 PSIRT 팀은 VEX(Vulnerability Exploitability eXchange) 명세를 활용하여 무해한 경보를 '영향 없음'으로 체계적으로 필터링하고, 실제 침해 위험이 있는 핵심 공격 표면에 대응 역량을 집중합니다.