Um artefato não assinado que chega em produção não é apenas uma falha de segurança, é um incidente de disponibilidade esperando para acontecer. Em pipelines GitOps, confiamos implicitamente que a imagem no registry é exatamente a que o pipeline gerou, mas raramente verificamos isso de fato. Quando esse pressuposto falha, o sintoma aparece longe da causa: um SLO quebra, um rollback não se comporta como esperado e o time de plantão descobre tarde demais que a versão anterior nunca foi verificada com certeza. Com agentes de IA cada vez mais escrevendo e até fazendo commit de código, essa pergunta fica ainda mais urgente: seu pipeline consegue garantir que qualquer artefato, escrito por humano ou por IA, passou pelos mesmos gates de qualidade e segurança antes de chegar em produção? Nesta talk vamos entender como o Sigstore e o Cosign funcionam na prática, eliminando a necessidade de gerenciar chaves privadas manualmente na assinatura de artefatos. Vamos ver também como provenance, através das SLSA attestations, funciona como telemetria de como um artefato foi construído, não apenas de quem o assinou.
Flávio é especialista em segurança da informação em ambientes cloud (Azure, AWS), desenvolvimento seguro e DevOps. Tem ampla experiência em segurança de ambientes cloud e on-premise, segurança de containers e Kubernetes, além de práticas seguras de GitOps. Como desenvolvedor com foco em segurança, contribuiu em diversos projetos implementando gates de segurança em pipelines de CI/CD e aplicando shift-left no desenvolvimento seguro.
