Googleは10月20日(米国時間)、「Google Online Security Blog: Announcing GUAC, a great pairing with SLSA (and SBOM)!」において、ソフトウェアサプライチェーンの安全性を確保するため、オープンソース・プロジェクトを立ち上げたと伝えた。
同社はソフトウェアサプライチェーンを強化するための継続的な取り組みの一環として、Graph for Understanding Artifact Composition(GUAC)と呼ばれる新たなオープンソース構想を発表し、プロジェクトへの貢献者を募集している。
Google Online Security Blog: Announcing GUAC, a great pairing with SLSA (and SBOM)!
an overview of the architecture of GUAC|Google Online Security Blog
GUACの詳細は、GitHubで確認することができる。GUACプロジェクトでは現在、SLSA、SBOM、Scorecardのドキュメントを取り込んでソフトウェアのメタデータの簡単なクエリと探索をサポートする初期段階の概念実証(PoC: Proof of Concept)が行われている。また次の取り組みとして、現在の機能を拡張し、新しい種類のドキュメントを取り込むことに重点を置くことが予定されている。