La provenienza SLSA è un'attestazione di build che registra dove, quando e come è stato prodotto il software. Di solito include il repository del codice sorgente, il flusso di lavoro di build, l'identità del builder e altri metadati che aiutano a collegare il rilascio di un pacchetto a uno specifico processo automatizzato.
Nel campo della sicurezza informatica, la provenienza è importante perché offre ai difensori un modo per risalire a un rilascio fino alla sua origine e verificare se il percorso di build era legittimo. È particolarmente utile nella sicurezza della supply chain, dove gli aggressori possono tentare di compromettere gli account di pubblicazione o i sistemi CI/CD e distribuire codice malevolo attraverso un processo di rilascio altrimenti affidabile. Un record di provenienza valido può mostrare che un pacchetto proviene da una pipeline approvata, ma non prova che il codice sia innocuo. I difensori usano la provenienza insieme alla revisione del codice, alle policy di build, ai controlli delle firme e al rafforzamento dei flussi di lavoro per rilevare manomissioni e ridurre il rischio di rilasci compromessi.