┌─────────────────────────────────────────────────────────────────┐
│  ZONE 1 — Entrada de dados (sem LLM)                             │
│  Upload do SBOM → Validação de esquema → Sanitização → Hash SHA-256 │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  ZONE 2 — Middleware de guardrails OWASP                        │
│  Guardião de prompt (LLM01) · Filtro de saída (LLM02/05)        │
│  Limitador de agência (LLM06) · Orçamento de tokens (LLM10)     │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  ZONE 3 — Pipeline multiagente (AutoGen AgentChat)               │
│                                                                  │
│  Orquestrador                                                    │
│       ├── Analista de CVEs      NVD v2 + OSV + EPSS por componente │
│       ├── Raciocinador de Exploração  Grafo de chamadas · Raciocínio LLM · RAG │
│       └── Escritor VEX        Validado pelo esquema CycloneDX 1.6 │
│                                                                  │
│  Armazenamento vetorial (Qdrant) — decisões VEX assinadas anteriores │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  ZONE 4 — Saída, assinatura, auditoria                          │
│  Portão humano-no-circuito → assinatura cosign/GPG → registro de auditoria │
└─────────────────────────────────────────────────────────────────┘

git clone https://github.com/your-org/sbom-vex-agent
cd sbom-vex-agent
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

# Desenvolvimento — Ollama (CPU/GPU, qualquer laptop)
ollama pull llama3.1
ollama serve

# Produção — vLLM (GPU necessária)
python -m vllm.entrypoints.openai.api_server \
  --model Qwen/Qwen2.5-Coder-32B-Instruct \
  --gpu-memory-utilization 0.90 \
  --host 0.0.0.0 --port 8000

docker compose up -d   # inicia Qdrant + PostgreSQL

python -m vex_agent analyse \
  --sbom path/to/your-sbom.cdx.json \
  --output path/to/output.vex.json

# Backend LLM
VLLM_BASE_URL=http://localhost:8000/v1    # ou Ollama: http://localhost:11434/v1
LLM_MODEL=Qwen2.5-Coder-32B-Instruct     # ou llama3.1 para desenvolvimento

# Serviços
QDRANT_URL=http://localhost:6333
AUDIT_DB_URL=postgresql://audit:secret@localhost:5432/audit

# Assinatura (deixe em branco para usar cosign keyless via Sigstore OIDC)
GPG_KEY_ID=                               # opcional: usar GPG

sbom-vex-agent/
├── vex_agent/
│   ├── ingest.py          # Zona 1: Validação e sanitização de SBOM
│   ├── guardrails.py      # Zona 2: Middleware OWASP (GuardrailedAgent)
│   ├── agents/
│   │   ├── orchestrator.py
│   │   ├── cve_analyst.py
│   │   ├── exploit_reasoner.py
│   │   └── vex_writer.py
│   ├── tools/
│   │   ├── nvd.py         # Cliente da API NVD v2
│   │   ├── osv.py         # Cliente OSV.dev
│   │   └── epss.py        # Pontuação EPSS
│   ├── vector_store.py    # Integração com Qdrant + assinatura de proveniência
│   ├── hitl.py            # Portão de revisão humano-no-circuito
│   └── sign.py            # Zona 4: Assinatura cosign / GPG
├── schemas/
│   ├── cdx-1.6.schema.json
│   └── cdx-1.6-vex.schema.json
├── tests/
├── docker-compose.yml
├── .env.example
└── requirements.txt

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.6",
  "version": 1,
  "metadata": {
    "timestamp": "2026-04-26T10:00:00Z",
    "tools": [{ "name": "sbom-vex-agent", "version": "1.0.0" }]
  },
  "vulnerabilities": [
    {
      "id": "CVE-2021-37714",
      "affects": [{ "ref": "pkg:maven/com.diffplug.spotless/[email protected]" }],
      "analysis": {
        "state": "not_affected",
        "justification": "vulnerable_code_not_in_execute_path",
        "detail": "Plugin executa apenas em tempo de compilação; não está presente no runtime implantado."
      }
    }
  ]
}