设想一次发布，纸面记录完美：审阅过的提交、解析好的依赖、构建者身份、产物摘要，每一项检查都有绿色运行记录，全部签名。它依然可能含有一个让任何人把发票标记为已付的 bug。来源证明值得拥有，AI 辅助开发让它更有用，因为团队越来越需要复原一次改动是怎么形成的；麻烦在于完整记录开始被当成「这段代码是好的」的证据。作者列出五种失效：忠实记录错的代码（Webhook 里只有签名存在才校验，完全不带签名就直接跳到标记已付，而构建可以完全可复现、证明可以完全校验通过）；「检查跑过」被读成「检查足够」；审阅记录不等于审阅过程（approved_by 只是记录了有人点了一下）；一次干净的扫描只是快照（发版当天通过，一周后新漏洞公布）；审计日志自己变成泄露源（完整提示词里带着客户邮箱、生产日志、连接串）。结论是来源证明回答「这是什么、怎么来的」，安全性是另一个问题。