CI/Lock

CI/Lock 为 CI 执行过程生成签名证据，延续 Witness、CNCF/in-toto 和 NIST 800-204D pipeline observer 的工作线索。原文举的供应链攻击中，aquasecurity/trivy-action 曾有 75/76 个版本标签被 force-push，导致信任 tag 的流水线暴露风险。这个工具的核心不是再加一个扫描器，而是让“流水线实际发生了什么”可证明。