┌─────────────────────────────────────────────────────────────────┐
│  ZONE 1 — Ingestion des entrées (pas de LLM)                    │
│  Upload SBOM → Validation schéma → Assainissement → Hachage audit SHA-256 │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  ZONE 2 — Middleware OWASP                                      │
│  Garde de prompt (LLM01) · Filtre de sortie (LLM02/05)         │
│  Limiteur d’agence (LLM06) · Budget de jetons (LLM10)          │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  ZONE 3 — Pipeline multi-agent (AutoGen AgentChat)              │
│                                                                  │
│  Orchestrateur                                                   │
│       ├── Analyste CVE       NVD v2 + OSV + EPSS par composant │
│       ├── Raisonneur d'exploit  Graphe d’appels · Raisonnement LLM · RAG │
│       └── Rédacteur VEX        CycloneDX 1.6 validé par schéma │
│                                                                  │
│  Magasin vectoriel (Qdrant) — décisions VEX antérieures signées │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  ZONE 4 — Sortie, signature, audit                              │
│  Porte Humain dans la boucle → Signature cosign/GPG → Journal d’audit │
└─────────────────────────────────────────────────────────────────┘

git clone https://github.com/your-org/sbom-vex-agent
cd sbom-vex-agent
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

# Développement — Ollama (CPU/GPU, n’importe quel ordinateur portable)
ollama pull llama3.1
ollama serve

# Production — vLLM (GPU requis)
python -m vllm.entrypoints.openai.api_server \
  --model Qwen/Qwen2.5-Coder-32B-Instruct \
  --gpu-memory-utilization 0.90 \
  --host 0.0.0.0 --port 8000

docker compose up -d   # démarre Qdrant + PostgreSQL

python -m vex_agent analyse \
  --sbom chemin/vers/votre-sbom.cdx.json \
  --output chemin/vers/sortie.vex.json

# Backend LLM
VLLM_BASE_URL=http://localhost:8000/v1    # ou Ollama : http://localhost:11434/v1
LLM_MODEL=Qwen2.5-Coder-32B-Instruct     # ou llama3.1 pour le développement

# Services
QDRANT_URL=http://localhost:6333
AUDIT_DB_URL=postgresql://audit:secret@localhost:5432/audit

# Signature (laisser vide pour utiliser cosign keyless via Sigstore OIDC)
GPG_KEY_ID=                               # optionnel : utiliser GPG à la place

sbom-vex-agent/
├── vex_agent/
│   ├── ingest.py          # Zone 1 : validation et assainissement SBOM
│   ├── guardrails.py      # Zone 2 : middleware OWASP (GuardrailedAgent)
│   ├── agents/
│   │   ├── orchestrator.py
│   │   ├── cve_analyst.py
│   │   ├── exploit_reasoner.py
│   │   └── vex_writer.py
│   ├── tools/
│   │   ├── nvd.py         # Client API NVD v2
│   │   ├── osv.py         # Client OSV.dev
│   │   └── epss.py        # Score EPSS
│   ├── vector_store.py    # Intégration Qdrant + signature de provenance
│   ├── hitl.py            # Porte de relecture Humain dans la boucle
│   └── sign.py            # Zone 4 : signature cosign / GPG
├── schemas/
│   ├── cdx-1.6.schema.json
│   └── cdx-1.6-vex.schema.json
├── tests/
├── docker-compose.yml
├── .env.example
└── requirements.txt

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.6",
  "version": 1,
  "metadata": {
    "timestamp": "2026-04-26T10:00:00Z",
    "tools": [{ "name": "sbom-vex-agent", "version": "1.0.0" }]
  },
  "vulnerabilities": [
    {
      "id": "CVE-2021-37714",
      "affects": [{ "ref": "pkg:maven/com.diffplug.spotless/[email protected]" }],
      "analysis": {
        "state": "not_affected",
        "justification": "vulnerable_code_not_in_execute_path",
        "detail": "Le plugin s’exécute uniquement à la construction ; non présent dans l’exécution déployée."
      }
    }
  ]
}