Залежність, образ, крок пайплайну, підпис - усе це вхідні дані, яким білд довіряє. Орієнтуйся на питання «що система тягне ззовні й запускає, не звіривши джерело чи підпис». Порівняй із пінами, ізоляцією форк-PR і перевіркою підпису (cosign)