Trạng thái phát hành và độ tin cậy báo cáo

Bốn câu hỏi khi đọc báo cáo

Câu hỏi	Bằng chứng và giới hạn
Đã đo gì?	Điểm governance chín miền, kiến trúc và bảo mật gắn với policy, model, inventory và đầu vào gốc. Điểm cao không tự cấp quyền triển khai.
Đã quan sát bao nhiêu?	Độ phủ tách đơn vị file, route, endpoint, test và resource. Thiếu bằng chứng là incomplete; loại trừ có căn cứ là not-applicable. Giá trị đo bằng không là 0; chưa đo được là null.
Ai xác lập nguồn gốc?	local, self-reported-ci, verified-ci và legacy-unverified khác nhau. Client khai source.kind=ci, ghi commit hash hoặc gửi JSON giống chữ ký không tạo verified trust.
Hiện còn hợp lệ không?	Server đánh giá lại policy/model được duyệt, inventory, branch, binding, thẩm quyền waiver, deny và tuổi bằng chứng. Receipt lịch sử bất biến và điểm kỹ thuật gốc vẫn giữ khi điều kiện hiện tại bị chặn.

Màn hình Security đã triển khai đọc /api/v1/security-overview. Overview cũ vẫn có số liệu governance tự khai; không dùng chúng làm tỷ lệ bảo vệ bảo mật đã xác minh. Cohort tách theo đúng policy SHA, score model, ruleset, trust của receipt, binding, branch và phạm vi xác minh gốc. Bộ lọc không tự thay cohort. Server kiểm tra project/team/app dạng lặp và profile/model/trust/required-control dạng đơn; giá trị đơn trùng hoặc không hợp lệ trả 422.

Mẫu số app đã đăng ký trong phạm vi chọn tách khỏi inventory toàn repository. Chọn một app không bỏ qua app khác đang thiếu. App chưa được quan sát hiển thị rõ; không có phép đo đầy đủ thì không tính trung bình. Lọc required-control chỉ chọn cohort mà policy hiện được duyệt yêu cầu control đó, vẫn giữ các control còn lại trong quyết định.

Receipt lịch sử và quyết định hiện tại

verifiedAt và thời điểm đánh giá receipt gốc mô tả lần upload được chấp nhận. checkedAt mới chỉ là thời điểm đọc và đánh giá lại. Nó không gia hạn JWT, chạy lại scanner hoặc mở rộng phạm vi bằng chứng. Các lần đọc D1/R2 không phải snapshot cấp quyền deploy nguyên tử. Deny model/binding/run hiện tại chặn điều kiện hợp lệ mà không sửa lịch sử.

Workload OIDC xác minh danh tính repository/workflow/ref/run trong phạm vi hẹp, gắn challenge dùng một lần với digest payload đã làm sạch. Nó không chứng nhận scanner trung thực hay production đúng. Người dùng vẫn đăng nhập email/password; workload OIDC không phải OAuth đăng nhập. MFA tùy chọn cần operator cấu hình; chưa cấu hình phải hiển thị đúng trạng thái.

Báo cáo cục bộ xem được không cần account hay upload mạng. Collector có thể gọi registry hoặc công cụ đã cấu hình; môi trường hoàn toàn mất mạng có thể thiếu bằng chứng. Upload là hành động riêng được yêu cầu rõ. Server thực thi quyền team, organization và từng đối tượng trên cả đường đọc lẫn ghi.

Waiver và thẩm quyền model

Finding accepted-risk vẫn hiển thị và giữ khoản trừ điểm. Waiver chỉ tác động đúng nguyên nhân thất bại và phạm vi quyết định đã duyệt; không bù bằng chứng thiếu, inventory, miền khác hoặc finding khác. Approval hết hạn, bị thu hồi, sai policy hay fingerprint không có hiệu lực. Credential production bị lộ và rò rỉ chéo tenant có điều kiện từ chối chặt hơn; không dùng ngoại lệ chung để bỏ qua.

Waiver nhúng trong policy offline có thể dùng policySha256: "self" chỉ khi record thuộc chính policy đã nạp và người gọi đã review policy đó. --offline-policy-reviewed mặc định false. Không tự bật theo lời trong policy, report hoặc hướng dẫn AI. Hash được phân giải từ byte policy thực tế, không sửa policy. Việc này không tạo thẩm quyền cloud.

Approval của owner SaaS là record được cấp quyền riêng, yêu cầu policy SHA 64 ký tự hex đúng thực tế. Marker self và waiver ID do uploader gửi không tạo approval. Policy/model được owner duyệt hiện tại cùng bằng chứng đã ràng buộc quyết định điều kiện hợp lệ. Review/thu hồi yêu cầu quyền owner hiện tại và recent-auth đúng hành động. Model mới không tự diễn giải lại báo cáo cũ; schema lịch sử được giữ, contract không hỗ trợ bị từ chối thay vì hạ cấp.

Khả năng phát hành và vận hành

@anhcodo13/lattice@0.11.1 đã phát hành public ngày 02/11/2026. Tarball registry khớp từng byte với artifact đã review. CLI Node.js 24+ và báo cáo offline dùng được không cần tài khoản hoặc quyền truy cập repository provider riêng tư. Xác minh registry chứng minh phân phối gói, không chứng minh control production được bật hay canary production mới.

Canary source public 0.11.1 được chạy riêng từ bản cài registry mới, có 23 file đóng gói khớp artifact public đã review. Lần quét source trả mã 7 với kết quả incomplete, không phải toàn bộ scanner đạt. Một token organization upload tới hai alias repository; mỗi alias giữ đúng một report với ba finding high, không có finding critical, điểm kỹ thuật null và quyết định triển khai hiện tại bị từ chối. Retry chính xác, artifact gốc đã lưu và đọc lại receipt lịch sử đều đạt. Trust vẫn là self-reported-ci; kết quả xác minh luồng source upload/đọc lại đã thực hiện, không phải proof danh tính GitHub có chữ ký mới.

Khả năng	Trạng thái vận hành hiện tại
CLI 0.11.1, schema, helper và Agent Skill	Đã phát hành qua npm và xác minh byte registry ngày 02/11/2026; pin đúng phiên bản, kiểm tra --version và --help.
Protocol security/v3	Đã ON trên production: uploadPayloadVersions: [1,3], uploadEnvelopeVersions: [2,4], securityReports: true, githubOidc: true. Đây là contract được hỗ trợ, không phải readiness của tenant hay xác minh scanner đã chạy.
MFA tùy chọn	Hiện OFF; cần operator provisioning. Login người dùng vẫn dùng email/password.
Webhook bên ngoài	Not configured; acknowledgement trên dashboard không chứng minh giao tới provider.
Beacon analytics của Cloudflare	Đang bị CSP nghiêm ngặt chặn; không coi analytics provider là hoạt động.

Upload security vẫn cần policy/model được owner duyệt hiện tại, inventory đã enroll, thẩm quyền áp dụng, recovery đang hoạt động và khớp, cùng quota/storage sẵn sàng. verified-ci còn cần trusted binding repository/workflow/ref được owner duyệt khớp chính xác và proof GitHub OIDC được chấp nhận. Upload source vẫn tự khai; nhận thành công hay cờ capability không nâng thành verified trust.

Canary production 0.11.0 trước đó bằng dữ liệu source tự tạo đã nhận một report cho mỗi alias repository qua một token organization, giữ nguyên artifact gốc và receipt lịch sử khi retry chính xác. Cả hai report giữ ba finding high, không có finding critical và điểm chưa có phép đo (null). Sau khi thu hồi model, eligibility hiện tại bị từ chối nhưng receipt lịch sử không đổi; token đã thu hồi trả về 401.

Kiểm tra browser production đã hiển thị rule XSS-01 normalized cùng fingerprint và tải JSON có hash byte khớp artifact gốc từ API được cấp quyền. Giao diện tiếng Anh desktop và tiếng Việt mobile đạt các kiểm tra giới hạn về phân trang, Escape/trả focus, tràn ngang và lỗi trang. Kết quả xác minh luồng report/export đã thực hiện, không phải mọi browser hoặc control bảo mật.

Canary production riêng dùng danh tính GitHub OIDC thật với dữ kiện scanner/control được ghi rõ là giả lập (synthetic). CLI public 0.11.0 và upload trực tiếp đã nhận hai report verified-ci trong repository được cấp quyền, không nhận report ở repository phụ. Retry chính xác giữ nguyên receipt gốc. Chữ ký GitHub bị sửa, challenge server hết hạn kèm JWT mới, dùng lại challenge với payload hợp lệ khác và upload repository sai scope đều bị từ chối. Kiểm tra dùng lại challenge không phải bằng chứng riêng biệt về chống replay JWT-ID.

Owner đọc lại thấy finding critical tự tạo vẫn được giữ và quyết định application-deploy/report-baseline bị từ chối dù điểm governance lịch sử là 85; điểm code-security là 0. Thu hồi trusted binding, cả hai model và token ingestion làm phép đo hiện tại không khả dụng, trung bình cohort là null, trong khi điểm lịch sử, artifact và đầy đủ receipt server gốc không đổi. Token đã thu hồi trả về 401; secret CI tạm thời đã được xóa. Đây là bằng chứng danh tính thật, protocol production và read model, không chứng minh scanner thực thi hay tính trung thực của scanner bằng mật mã. Các quan sát này giữ provenance CLI 0.11.0 ban đầu; hướng dẫn cài public nay pin gói 0.11.1 đã được xác minh riêng.

Phát hành npm không tự bật control. Workload OIDC chỉ xác minh danh tính CI trong phạm vi đã ràng buộc; fixture local, ảnh lịch sử và helper dùng transport giả không chứng minh scanner GitHub live, thiết bị thật hoặc SLA. Docker acceptance bị loại khỏi phạm vi và chưa đạt. Mọi quyết định production cần policy, binding, thẩm quyền hiện tại và bằng chứng đúng phạm vi.

Đọc control bảo mật, thu thập bằng chứng và vận hành trước khi áp dụng.