패키지는 확인 가능한 SLSA 규정 준수의 증거를 포함하여 Cloud Build로 빌드됩니다. Google에서는 1단계, 즉 Google에서 빌드하고 서명한 등급 2, 검증된 소스에서 안전하게 빌드, 모든 전이 종속 항목 증명, 3단계(모든 종속 항목의 전이적 종료, 지속적으로 스캔, 퍼징됨) 등 3가지 수준의 보증을 제공합니다.

각 패키지의 SBOM에는 SPDX 및 VEX 형식으로 제공되는 Cloud Build, 컨테이너 분석, 패키지 상태, 취약점 영향 데이터 등 다양한 메타데이터가 포함됩니다.

패키지에는 OSV 데이터가 포함되며 정기적으로 스캔, 분석, 퍼징 테스트를 통해 취약점이 있는지 확인합니다.

패키지 및 메타데이터에는 패키지 빌드 및 테스트 방식의 엔드 투 엔드 출처가 포함됩니다.

서명된 버전의 패키지 및 메타데이터는 Google이 관리하고 안전하게 보호하는 Artifact Registry에서 배포됩니다.

고객에게 영향을 미치는 오픈소스 프로젝트를 기반으로 새 패키지가 지속적으로 추가됩니다.