證據與稽核

證明每個決定。幾個月後重播。

Decision Capsule密封證據，以便稽核人員可以離線、獨立、逐位驗證任何發行相同。

「給我證明這個CVE?公共漏洞和暴露 - 公開已知安全漏洞的唯一識別碼在一月版本中被正確處理。」

Stella Ops 簽署什麼——以及不簽署什麼

Stella Ops 簽署的是關於這次發布的陳述，而不是你的容器映像本身。每一條都是以映像摘要為主體的 in-toto/DSSE 陳述：SBOM、可達性圖、VEX、風險裁定、政策決策、操作者核准、晉級以及重放結果。映像本身的簽章仍由你的映像倉庫與建置系統負責——Stella Ops 並不取代它們，但可以將 SBOM 附加到倉庫中的映像上。

這問得對，我們不會迴避：簽章證明的是你的安裝產出了該判決，因此被攻陷的控制平面可以簽出一份看似有效的記錄。設計所做的，是讓這份記錄難以被盲目信任、且易被識破。

金鑰在我的安裝中產生——那麼如果我的控制平面被攻陷，它的簽章不還是有效的嗎？ →

這對您的業務意味著什麼

合規就緒證明自動產生——數月後仍可驗證和重播，即使離線也可以。每個發行決策都封裝在簽名的Decision Capsule中，稽核員可以獨立檢查。 Decision Capsule?簽名的可匯出證據包，封裝發行決策的每個輸入和輸出，用於離線稽核和確定性重播

稽核人員可以在幾個月後重播決策

合規工作流程

1
稽核人員詢問
「給我證明這個CVE?公共漏洞和暴露 - 公開已知安全漏洞的唯一識別碼在一月版本中被正確處理。」
2
運算符匯出
stella evidence card export evp-2026-01-14-abc123 --output./jan-release-card.json
3
Pack驗證
Auditor 執行 stella evidence card verify./jan-release-card.json — 簽名檢查，摘要匹配。
4
重播再現
stella replay./jan-release-capsule/ 使用凍結輸入產生相同的結論。

什麼是 Decision Capsule

Decision Capsule位於保管鏈上 →

書脊上有一個Decision Capsule：決策階段的簽名記錄，透過摘要與前一階段記錄的證據相連。

匯出Decision Capsule會產生簽名且按內容尋址的包，包含發行決策的精確輸入與輸出。

文物摘要

SHA-256 內容地址

已簽名

SBOM?軟體物料清單 - 軟體中所有套件和相依性的完整列表 快照

CycloneDX?業界廣泛使用的軟體物料清單（SBOM）開放標準格式 1.6/1.7 ·SPDX?軟體套件資料交換 - 另一種廣泛用於開源的SBOM開放標準格式 3.0.1

已簽名

Reachability?分析證明易受攻擊的程式碼是否確實被您的應用程式呼叫——過濾掃描器雜訊中的誤報 證據

圖 + 邊證明

已簽名

VEX?漏洞可利用性交換 - 關於漏洞是否在您的情境中實際可利用的機器可讀聲明州

格點解析判決

已簽名

政策版本

內容定址規則與閾值

已簽名

核准

簽署的核准紀錄

已簽名

凍結的 CVE?公共漏洞和暴露 - 公開已知安全漏洞的唯一識別碼/通告狀態

凍結漏洞訂閱快照以促進重現性

已簽名

DSSE 而且整體風格的簽名讓篡改變得明顯可見。密碼學輪廓選擇可支援區域及監管要求。 Cosign?Sigstore專案的容器簽章工具，用於簽署和驗證容器映像和製品 Sigstore?為軟體供應鏈提供免費程式碼簽章和透明度記錄基礎設施的開源專案 一條證據鏈。可插拔簽名。 →

CycloneDX 1.6/1.7和SPDX 3.0.1，OCI相連。可以從 Trivy、Grype 或 Syft 匯入，或是原生產生。 OpenVEX?關於漏洞可利用性的VEX聲明開放標準格式和CSAF 2.0。具有衝突檢測功能的多發行者點陣解析。 SARIF: 靜態分析結果交換格式匯出用於IDE和CI集成。

SBOM / VEX · Stella 與

來源： Decision Capsule文件

範例Decision Capsule：下載並檢查

這個下載只是經過清理、僅結構化的範例——一個結構範例，而非可重播的Decision Capsule。計畫推出完整且可重播的範例匯出。

封存檔中的檔案

decision-capsule-2026-07-27/
|- README.txt              # 這個例子是什麼，什麼不是
|- manifest.json           # Decision Capsule清單：輸入、輸出、簽名
|- sbom.cdx.json           # CycloneDX SBOM快照（結構範例）
|- reachability.json       # 可達性摘要（結構範例）
|- policy.json             # 決策時的政策版本與門檻
`- approvals.json          # 模擬認可唱片

下載範例Decision Capsule 下載簽名下載公鑰

你可以根據這個下載來驗證什麼

今天有一項命令成功攻破了這個檔案。它會檢查你下載的 tarball 是否與公開簽名相符。

1 · Signature over the archive

ECDSA P-256 over SHA-256 of the archive bytes, checked against the published key. Run it from the directory holding the three downloads.

終端

$ cosign verify-blob --key example-capsule.pub --signature example-capsule.sig --insecure-ignore-tlog=true example-capsule.tar.gz
已驗證 OK

請用共簽（示範鍵）驗證範例簽名。示範簽名沒有透明度記錄條目，因此 tlog 檢查會被明確跳過。

2 · Digests of every file in the manifest

Extract, then compare each file's sha256 against the value recorded in manifest.json. Four files are listed; manifest.json and README.txt are covered by the signature over the archive instead of a self-referential digest.

終端

$ tar -xzf example-capsule.tar.gz && cd decision-capsule-2026-07-27

終端

$ sha256sum sbom.cdx.json reachability.json policy.json approvals.json
081846c34464b6a11cd3e05665012a315c73276594733f6140a8247d26cd594e sbom.cdx.json
bbbcdeb9986c22e74964daab1a3095c28990997ac234089c36ba57c46de0a6ca reachability.json
88add685696e7c0feab99924299db414671227aaaf5f4c7468ea96c2e3d6c44f policy.json
30b114980f6ca52ec5c2f0cec4d1ced44c8625395ce77a776ddf008e73b8dd96 approvals.json

這個金鑰是一組展示在檔案旁邊的示範金鑰。驗證證明下載內容完整且未被修改；它不代表生產信任鏈。

stella evidence card verify 和 stella replay 是產品出口Decision Capsule的產品指令。這些不是驗證步驟，無法成功。

清單內頁：manifest.json

這是範例存檔中寄出的資訊清單。在產品出口Decision Capsule中，清單會將每個輸入與輸出都標記為摘要，以便日後重播決策。這裡的摘要是佔位符，顯示為截斷。

{
  "capsule_id": "cap-2026-07-27-demo01",
  "created": "2026-07-27T09:18:00Z",
  "subject": {
    "name": "example-service",
    "version": "2.4.1"
  },
  "verdict": "ALLOW",
  "policy_version": "corp-policy@2026-07-10",
  "digest_algorithm": "sha256",
  "files": {
    "sbom.cdx.json": "081846c34464b6a1…",
    "reachability.json": "bbbcdeb9986c22e7…",
    "policy.json": "88add685696e7c0f…",
    "approvals.json": "30b114980f6ca52e…"
  }
}

確定性重播

幾個月後，你可以驗證相同的政策、證據和產出物摘要會產生相同的決策。這消除了事件審查與合規檢查時的不確定性。

將簽名與置頂的信任錨點核對。
確認SBOM，並將快照摘要與清單相符。
用相同的政策套件和可達性輸入重玩。
將最終判決及支援證據匯出為稽核包。

稽核人員無需任何網路存取即可驗證簽名、檢查摘要完整性並重播決策。所有加密材料都隨Decision Capsule一起傳輸。

主權和實體隔離 · 在實體隔離網路上執行 Stella Ops

重播時會以產品出口Decision Capsule進行。本頁的範例下載為結構範例，不會重播。

獨立信任產出物狀態

除了第一方證明之外，評估生產部署的買家通常還要求第三方驗證。本節展示了已經公開的內容和仍在進行中的內容。

現已公開 — 驗證金鑰、簽名的Decision Capsule示例、確定性重播命令和可匯出的證據結構都是公開可用的。
進行中 — 客戶參考案例即將推出——來自我們內部測試版的結果。第三方評估摘要尚未作為公開材料發布。
為了盡職調查 — 在對具有採購門的團隊進行評估期間，可以確定安全包、架構證據和試點參考討論的範圍。

開始於驗證碼, 供應商安全審查, 和接觸索取企業審核材料。

準備好使版本可審核了嗎？

免費開始工作原理

閱讀Decision Capsule規範 · 查看所有功能