La fase di build è la parte della compilazione in cui un progetto viene trasformato in un programma funzionante. In molti strumenti di sviluppo, questo passaggio può anche eseguire script personalizzati, generatori di codice, comandi di post-elaborazione o altre attività definite dal progetto.
Questa flessibilità rende la fase di build un confine di sicurezza. Se un attaccante compromette un repository o un file di progetto, comandi malevoli possono essere eseguiti quando uno sviluppatore apre o compila il codice, anche prima dell'avvio dell'app. Questo è un comune punto di abuso negli attacchi alla supply chain contro le workstation degli sviluppatori e i sistemi CI. I difensori riducono il rischio esaminando gli script di build, limitando ciò che le fasi di build possono eseguire, isolando le build in ambienti attendibili e monitorando eventuali modifiche inattese ai file di configurazione del progetto.