Une preuve vérifiable pour la chaîne de livraison
Alien6 a publié la première version de Continuum Attest, identifiée par le tag v0.1.0 du 18 septembre 2026. Distribué sous licence Apache-2.0, cet outil en ligne de commande écrit en Rust permet de conserver une preuve structurée des opérations d’un pipeline logiciel.
Un journal de CI décrit ce qui s’est passé dans un environnement donné. Attest ajoute un reçu contenant les étapes exécutées et les empreintes des éléments suivis, avec une signature cryptographique lorsque celle-ci est activée. Le destinataire peut examiner ces éléments et vérifier leurs empreintes sans dépendre de l’interface du fournisseur de CI.
Intégration aux pipelines existants
Attest peut exécuter un pipeline décrit dans un fichier de configuration ou envelopper une commande existante. Cette seconde approche permet de commencer par une étape de build sans réécrire toute la chaîne de livraison.
La version 0.1 comprend les reçus, la signature et la vérification, un magasin local de confiance et un registre causal des événements. Elle propose également des capsules liées à des images OCI identifiées par leur digest, ainsi que des échanges avec les formats in-toto et SLSA Provenance.
Des éléments exploitables par plusieurs équipes
Le projet vise les équipes d’ingénierie, de plateforme et de sécurité qui doivent documenter l’origine des artefacts qu’elles livrent. Les reçus et les archives vérifiables peuvent servir de pièces techniques lors d’une revue de livraison ou d’un examen de provenance.
La vérification porte sur la cohérence des éléments enregistrés et sur la confiance accordée aux clés de signature. Elle n’établit pas à elle seule la qualité du logiciel, sa conformité réglementaire ou l’identité juridique du signataire. La version 0.1 ne publie pas les racines du registre causal dans un journal public de transparence.
Disponibilité et contribution
Continuum Attest est disponible pour Linux et macOS, sur x86-64 et arm64. Le paquet Rust porte le nom continuum-attest et installe la commande attest. Le dépôt public rassemble le code, les tests, les modèles CI et les instructions de contribution.
La documentation décrit le format des reçus et les règles de vérification. Cette ouverture permet aux utilisateurs d’étudier le fonctionnement de l’outil et de contribuer à son évolution. Les caractéristiques présentées dans cette annonce correspondent au jalon 0.1.
Ressources du projet
À propos d’Alien6
Alien6 est un studio de conseil et d’ingénierie logicielle qui travaille sur l’architecture, les systèmes intelligents, la sécurité et la recherche appliquée. Ses projets open source rendent accessibles des outils issus de ces travaux.
Contact presse