Software Bills of Materials (SBOMs)는 단순히 컴포넌트 인벤토리로서뿐만 아니라 의존성 그래프 (dependency graphs)로서 소비됩니다. 취약점 분류 (vulnerability triage), 도달 가능성 필터링 (reachability filtering), 그리고 영향 분석 (impact analysis)은 모두 SBOM이 선언하는 엣지 (edges)를 탐색합니다. 우리는 Wild SBOMs 데이터셋에서 추출한 78,612개의 실제 SBOM 파일(그 중 파싱 가능한 77,092개)을 대상으로 선언된 의존성 그래프에 대한 최초의 대규모 특성 분석을 제시합니다. 우리는 해당 모집단이 세 가지 체제 (regimes)로 나뉜다는 것을 발견했습니다: 52.9%의 SBOM은 엣지를 전혀 선언하지 않았으며 (의존성 관계에 대한 NTIA 최소 요소 요구 사항을 충족하지 못함), 8.8%는 의존성 블록을 선언하지만 대부분의 컴포넌트를 고립된 상태로 남겨두었습니다 (퇴화 체제 (degenerate regime); 최소 50개의 컴포넌트를 가진 이러한 SBOM들 중 고아 (orphan) 비율의 중앙값은 93%였으며, 우리가 Syft로 생성한 11개의 컨테이너 이미지 SBOM들은 95-98%의 고아 비율을 보이며 이 체제에 속했습니다), 그리고 38.3%는 잘 연결된 그래프를 형성합니다. 엣지 방출 (Edge emission)은 기술된 소프트웨어가 아니라 생성기 (generator)에 의해 결정됩니다 (도구 전반에 걸쳐 0%-100%의 엣지 없음 비율). 또한 그래프의 불완전성을 선언하기 위한 명세 수준의 메커니즘 (CycloneDX compositions)은 모집단의 0.10%에 의해 사용됩니다. 우리는 처음 두 체제에서 일반적인 소비자 추론인 "경로가 없으면 도달 불가능함을 의미한다"는 결론이 입증 가능한 불완전한 산출물로부터 도출된 타당하지 않은 폐쇄 세계 (closed-world) 결론이라고 주장합니다. 실제 운영 중인 취약점 우선순위 지정 시스템 (vulnerability-prioritization system)에서, 그 결과로 발생하는 거부 (veto)를 퇴화 탐지기 (degeneracy detector)에 의해 보호되는 명시적인 "알 수 없음 (unknown)" 수준으로 대체했을 때, 경보 범람 (alert flooding) 없이 KEV 재현율 (recall)을 0.600에서 0.950으로 회복했습니다 (제어된 재점수화 기준; 라이브 엔드 투 엔드 실행 시 0.957). 우리는 우리의 스트리밍 스캐너와 전체 SBOM별 토폴로지 (topology) 데이터셋을 공개합니다.