provenance
文物与档案研究中指物品从制造到当前持有者之间的完整所有权与流转历史，依赖连续文献记录进行验证。
核心事实
时间轴 (近 90 天)
可以将提交或发布标签的有效签名纳入 CI 自动化检查，并结合 npm provenance 证明和锁文件校验形成可追溯链路。
结合 npm 包的 provenance（来源证明）机制，依赖方可以追溯某个发布版本由哪个仓库、哪次提交、在何种 CI 流程中产出。
npm 生态另有 provenance 机制，可将发布产物与其源码仓库、构建流水线绑定并生成可公开核查的证明。
发布提交带有 GPG 签名，配合 npm provenance 机制可追溯包来源，使用方可验证所安装的包由该仓库 CI 产出。
作者为每个评判智能体的输出schema添加了必填的provenance字段，测试的两种模型都能良好遵守，成本几乎为零，输出从'自信'变为'可核查'。
provenance（来源追踪）指对每条关键主张标注其来源方式，在本文schema中用READ、EXECUTED、INFERRED、BLOCKED四个值区分，将'结果看起来对不对'换成'结果能不能被追溯'。
标注来源（provenance）是RAG可靠性的基础，要求每段文字可追溯其在原文件中的位置和角色。
签名证据只能证明报告未被篡改，不能证明代理本身是安全的
决策溯源（provenance）与轨迹重建（trace reconstruction）在技术实现上通常依赖结构化日志与分布式追踪（distributed tracing）体系
npm provenance 是基于 Sigstore 项目构建的供应链安全机制，通过 OIDC 验证发布者身份并将签名记录到透明日志 Rekor
全部知识事实 (9)
npm 生态另有 provenance 机制，可将发布产物与其源码仓库、构建流水线绑定并生成可公开核查的证明。
75%待验证可以将提交或发布标签的有效签名纳入 CI 自动化检查，并结合 npm provenance 证明和锁文件校验形成可追溯链路。
50%待验证结合 npm 包的 provenance（来源证明）机制，依赖方可以追溯某个发布版本由哪个仓库、哪次提交、在何种 CI 流程中产出。
50%待验证发布提交带有 GPG 签名，配合 npm provenance 机制可追溯包来源，使用方可验证所安装的包由该仓库 CI 产出。
50%待验证provenance（来源追踪）指对每条关键主张标注其来源方式，在本文schema中用READ、EXECUTED、INFERRED、BLOCKED四个值区分，将'结果看起来对不对'换成'结果能不能被追溯'。
50%待验证标注来源（provenance）是RAG可靠性的基础，要求每段文字可追溯其在原文件中的位置和角色。
50%待验证签名证据只能证明报告未被篡改，不能证明代理本身是安全的
50%待验证决策溯源（provenance）与轨迹重建（trace reconstruction）在技术实现上通常依赖结构化日志与分布式追踪（distributed tracing）体系
50%待验证npm provenance 是基于 Sigstore 项目构建的供应链安全机制，通过 OIDC 验证发布者身份并将签名记录到透明日志 Rekor
50%