---
title: Sigstore 模型签名库发布 1.0 版
dek: Google 开源安全团队与开源安全基金会、NVIDIA 和 HiddenLayer 合作一年后，于 2025 年 4 月 4 日发布了 model-signing 软件包 1.0 版。发布者可以为模型文件签名，下游任何人都可以核查这些文件是否与某个已知身份签署的内容一致。
---

Google 开源安全团队于 2025 年 4 月 4 日在 Sigstore 博客上宣布，model-signing 项目发布 1.0 版。该团队称，过去一年里，它与开源安全基金会（OpenSSF）、NVIDIA 和 HiddenLayer 合作，在 sigstore-python 库的基础上构建了这个软件包。[^1]OpenSSF 同日也宣布了这一版本，称其为旗下 AI/ML 工作组的项目。[^2]GitHub 上的发布说明称，1.0 是首个稳定版本，提供向后兼容的编程接口、命令行工具和明确定义的签名方案。[^3]

这个库既可以用公钥和证书签名，也可以用 Sigstore 签名。该项目对 Sigstore 的描述是：无须管理密钥，就能让代码签名透明化。[^4]博客文章建议默认使用 Sigstore。在这一流程中，签名时会获取一张短期证书，证书与开发者或工作负载的 OpenID Connect 身份绑定；OpenID Connect 是一种标准登录协议。随后，签名和证书会记录在 Sigstore 的透明日志中，这是一份记录签名事件的公开日志。据文章介绍，这份日志有助于监控签名事件，使恶意内部人员无法冒充公司签名发布模型。文章还说，模型托管平台和用户在证书过期后仍能验证模型，因为证书和日志收录证明会随模型一同上传。[^1]

签名以 Sigstore bundle 的形式保存，其中经过签名的声明列出了模型的各个文件及其哈希值。验证时先检查签名，再重新计算文件哈希。[^4]团队设计这个库，是为了让它能集成到 Kaggle、Hugging Face 等模型托管平台中，由平台在上传时验证签名。按照设计，它也能集成到 PyTorch 等框架中，在保存模型时完成签名。[^1]OpenSSF 的公告称，模型上传到托管平台、被选定用于部署或用作另一个模型的输入时，都应检查签名。[^2]

:::analysis
模型签名只能说明这些文件就是某个身份所签署的文件。它不能说明模型是如何训练的，也不能说明模型运行起来是否安全。这项检查有多大用处，还取决于验证方是否清楚应当由哪个身份签名。签名也无法说明托管服务实际加载了哪些文件；这需要另外的证据，例如对服务运行环境的远程证明。
:::

:::checked
2026 年 10 月 20 日，我们阅读了 Sigstore 博客文章、OpenSSF 的公告、GitHub 上 v1.0.0 的发布说明，以及该项目 v1.0.0 标签下的 README。本简报报道的是 2025 年 4 月发布的版本，我们没有查看后续版本。我们没有安装这个库，也没有验证任何已签名的模型；我们不自行测试任何系统。
:::