SPDX, ovvero Software Package Data Exchange, è uno standard aperto per descrivere il software e i relativi metadati in un formato leggibile dalle macchine. Può registrare componenti, licenze, provenienza, dataset, asset di IA e vulnerabilità note, offrendo ai team di sicurezza e conformità un modo comune per inventariare ciò che è presente in una build.
Nella sicurezza informatica, SPDX è importante perché un contenuto software poco chiaro crea rischio. Se un progetto include codice open source non dichiarato, frammenti copiati o codice generato, SPDX può aiutare a documentare cosa è stato usato e da dove proviene. Questo supporta la conformità alle licenze, il tracciamento delle vulnerabilità e i controlli di integrità della build. I difensori usano SPDX insieme alle software bill of materials e alla software composition analysis per tracciare le dipendenze e individuare componenti rischiosi o non attendibili. Non dimostra che il codice sia sicuro, ma fornisce alle organizzazioni evidenze che possono verificare, automatizzare e condividere tra strumenti e fornitori.