Mini Shai-Hulud 与 SLSA 证明层的语义边界

证明说了真话，但真话是伪造的：Mini Shai-Hulud 与 SLSA 证明层的语义边界

当恶意代码跑进合法发布管道、用被窃取的 OIDC token 经 Sigstore 签出加密有效但字段全部正确的 SLSA attestation 时，证明这一层到底证明了什么？SLSA 的边界在哪、实际拦住或减缓攻击的又是什么？

证明层记录'发生了什么'，政策/验证才回答'是否够好'；当攻击代码在信任管道内运行时，证据准确但构建已非本意。关键分界在 L2（npm 内置 provenance，防依赖混淆，不要求隔离）与 L3（平台级缓存隔离、签名密钥不可达）。有效止损是操作性/结构性而非更强签名：平台级缓存隔离、监控'失败 run 仍发布'、发布冷却/信任延迟、preinstall 拦截与钩子清理、按 digest 固定 actions、避开 pull_request_target。信任根移动而非消失。保留未解：pull_request_target 在 SLSA 射程之外需另设控制；'签名=安全'心智模型；Source Track 采纳度与 GitHub OIDC 隔离。