待验证50% 置信解决方案精确时间

通过 GPG 密钥对发布包进行签名，可以让使用者验证该版本确实由合法构建流程产出，从而降低依赖投毒攻击风险

1

来源数

50%

置信度

长期有效

时效性

2026/10/1

首次发现

来源

Vercel AI SDK 发布 sandbox-vercel 1.0.138 补丁更新

涉及实体

GPGtechnology 供应链安全concept

相关事实

已验证GPG签名是一种基于非对称加密的数字签名机制，在GitHub的发布流程中，维护者使用私钥对发布产物进行签名，用户可以通过公钥验证签名的有效性77% 相似待验证结合GPG签名与不可变发布机制可以在一定程度上防御针对发布环节的软件供应链攻击75% 相似待验证在嵌入令牌场景中，服务端使用私钥对令牌签名，Databricks平台使用对应的公钥验证签名完整性66% 相似待验证签名验证不仅要检查签名值本身，还必须强制锁定允许的算法列表，而不是信任令牌头部声明的算法65% 相似待验证安全时间戳使得即便签名证书事后到期或被吊销，验证方仍能证明签名行为发生时证书是有效的，从而允许软件继续运行65% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/966115

API

curl https://kongchang.com/api/v1/knowledge/claims/966115

MCP

get_claim(id=966115)