Как автоконцерны формируют машиночитаемые спецификации ПО (SBOM) в форматах CycloneDX и SPDX, фильтруют уязвимости CVE и координируют выпуск экстренных патчей через OTA.
Сканирование кода автомобиля выявляет тысячи предупреждений CVE. Однако 95% из них не применимы к авто, так как уязвимая функция не вызывается или была удалена компилятором. Группы PSIRT используют документы VEX для отсеивания ложных тревог, концентрируясь на устранении реальных угроз.