// SÖZLÜK

Attestation (Kanıt Beyanı)

Build ve CI hattı çıktılarının (model artefaktı, veri köken zinciri, bağımlılıklar) imzalanması, doğrulanması ve kanıt beyanlarının yapılandırılmış biçimde kayda alınmasıdır. Mesele bir dosyanın var olması değil, o dosyanın nereden geldiğinin, hangi süreçten geçtiğinin ve kim tarafından onaylandığının taşınabilir, doğrulanabilir kanıtıdır. Yazılım tedarik zinciri saldırılarının (SolarWinds, XZ Utils gibi) gösterdiği şey açıktır: üretim ortamına ulaşan artefaktın meşruluğu, kaynağına dair bir güven varsayımına değil bir kanıta dayanmalıdır. Yayına alma kararı (promote/rollback) bu kanıt zeminine bağlanır; beyan yoksa karar da dayanaksız kalır. Sigstore, Cosign, in-toto ve SLSA çerçevesi bu zincirin sahada yerleşmiş biçimleridir; attestation köken bilgisinin (provenance) imzalanmış, makine tarafından doğrulanabilir hâlidir.