┌─────────────────────────────────────────────────────────────────┐
│  区域 1 —— 输入接收（无LLM）                                      │
│  SBOM上传 → 模式验证 → 清理 → SHA-256审计哈希                    │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  区域 2 —— OWASP护栏中间件                                       │
│  提示词护栏 (LLM01) · 输出过滤器 (LLM02/05)                       │
│  代理限制器 (LLM06) · 令牌预算 (LLM10)                            │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  区域 3 —— 多元代理管道 (AutoGen AgentChat)                      │
│                                                                  │
│  编排器                                                           │
│       ├── CVE分析员      每个组件的 NVD v2 + OSV + EPSS          │
│       ├── 可利用性推理器  调用图 · LLM推理 · RAG                  │
│       └── VEX编写器      CycloneDX 1.6 模式验证                  │
│                                                                  │
│  向量存储 (Qdrant) —— 已签名的历史VEX决策                         │
└────────────────────────────┬────────────────────────────────────┘
                             │
┌────────────────────────────▼────────────────────────────────────┐
│  区域 4 —— 输出、签名、审计                                        │
│  人机交互闸门 → cosign/GPG签名 → 审计日志                         │
└─────────────────────────────────────────────────────────────────┘

git clone https://github.com/your-org/sbom-vex-agent
cd sbom-vex-agent
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt

# 开发环境 —— Ollama（CPU/GPU，任何笔记本）
ollama pull llama3.1
ollama serve

# 生产环境 —— vLLM（需要 GPU）
python -m vllm.entrypoints.openai.api_server \
  --model Qwen/Qwen2.5-Coder-32B-Instruct \
  --gpu-memory-utilization 0.90 \
  --host 0.0.0.0 --port 8000

docker compose up -d   # 启动 Qdrant + PostgreSQL

python -m vex_agent analyse \
  --sbom path/to/your-sbom.cdx.json \
  --output path/to/output.vex.json

# LLM 后端
VLLM_BASE_URL=http://localhost:8000/v1    # 或 Ollama: http://localhost:11434/v1
LLM_MODEL=Qwen2.5-Coder-32B-Instruct     # 开发时使用 llama3.1

# 服务
QDRANT_URL=http://localhost:6333
AUDIT_DB_URL=postgresql://audit:secret@localhost:5432/audit

# 签名（留空则使用 cosign keyless 通过 Sigstore OIDC）
GPG_KEY_ID=                               # 可选：改用 GPG

sbom-vex-agent/
├── vex_agent/
│   ├── ingest.py          # 区域 1：SBOM 验证和清理
│   ├── guardrails.py      # 区域 2：OWASP 中间件（GuardrailedAgent）
│   ├── agents/
│   │   ├── orchestrator.py
│   │   ├── cve_analyst.py
│   │   ├── exploit_reasoner.py
│   │   └── vex_writer.py
│   ├── tools/
│   │   ├── nvd.py         # NVD v2 API 客户端
│   │   ├── osv.py         # OSV.dev 客户端
│   │   └── epss.py        # EPSS 评分
│   ├── vector_store.py    # Qdrant 集成 + 来源签名
│   ├── hitl.py            # 人机交互评审闸门
│   └── sign.py            # 区域 4：cosign / GPG 签名
├── schemas/
│   ├── cdx-1.6.schema.json
│   └── cdx-1.6-vex.schema.json
├── tests/
├── docker-compose.yml
├── .env.example
└── requirements.txt

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.6",
  "version": 1,
  "metadata": {
    "timestamp": "2026-04-26T10:00:00Z",
    "tools": [{ "name": "sbom-vex-agent", "version": "1.0.0" }]
  },
  "vulnerabilities": [
    {
      "id": "CVE-2021-37714",
      "affects": [{ "ref": "pkg:maven/com.diffplug.spotless/[email protected]" }],
      "analysis": {
        "state": "not_affected",
        "justification": "vulnerable_code_not_in_execute_path",
        "detail": "插件仅在构建时执行；部署的运行时中不存在。"
      }
    }
  ]
}