Un manifesto di build è un registro collegato a una build software o a un evento di artefatto. In questo contesto, si tratta di una metrica specifica del vendor piuttosto che di un nome di oggetto OCI standard. Può rappresentare una build completata, una variante ricostruita o metadati generati durante la produzione dell'artefatto. Nelle supply chain dei container, i manifesti aiutano a descrivere cosa è stato costruito, quali input sono stati usati e come il risultato dovrebbe essere identificato o verificato.
I manifesti di build sono importanti perché gli aggressori spesso prendono di mira la pipeline di build, non solo l'immagine finale. Se un avversario può alterare il codice sorgente, le dipendenze, i passaggi di build o le chiavi di firma, può produrre un artefatto malevolo che sembra comunque legittimo. I difensori usano i manifesti insieme a firme, attestazioni di provenienza, SBOM e pinning dei digest per dimostrare l'integrità e tracciare l'origine. Su larga scala, un gran numero di eventi di build-manifest di solito segnala automazione e un flusso di rilascio rapido, ma la sicurezza dipende comunque da una verifica affidabile, non dal conteggio in sé.