Como montadoras geram SBOMs CycloneDX e SPDX para auditar código aberto, triar CVEs de dia zero e emitir patches OTA rápidos.
Escanear o código do carro acusa milhares de vulnerabilidades CVE. Mas 95% delas não têm perigo no carro porque a função vulnerável nunca é chamada ou o código foi removido pelo compilador. Times de PSIRT usam documentos VEX para descartar alarmes falsos e focar apenas no risco real.