PBOM sta per Pipeline Bill of Materials. Si tratta di un inventario della pipeline CI/CD stessa: i job, gli strumenti, i runner, gli script, i plugin e le modifiche di configurazione che determinano come il software viene compilato, testato, firmato e rilasciato. A differenza di un SBOM, che descrive i componenti dell'applicazione, un PBOM si concentra sulla pipeline di delivery come sistema di riferimento.
I PBOM sono importanti perché gli attaccanti spesso prendono di mira il percorso di build, non solo il codice. Un file di workflow modificato, una nuova dipendenza di build o una fase di rilascio alterata possono cambiare ciò che viene distribuito senza modificare in modo evidente il codice sorgente. In difesa, il monitoraggio in stile PBOM aiuta i team a individuare modifiche non autorizzate alla pipeline, confrontare nel tempo gli stati affidabili della pipeline e supportare il lavoro di provenienza e audit quando un rilascio sembra sospetto.