Un riferimento immutabile è un identificatore fisso che punta sempre allo stesso contenuto sorgente, come uno SHA di commit Git, un digest di immagine o un hash di rilascio firmato. A differenza di un nome di branch o di un tag mobile, non può essere riassegnato in seguito, quindi offre ai team un modo stabile per indicare esattamente ciò che è stato compilato, analizzato o distribuito.
Nella sicurezza informatica, i riferimenti immutabili sono importanti perché riducono l'ambiguità della supply chain. I difensori possono vincolare le dipendenze a un commit noto, verificare gli artefatti rispetto ai digest attesi e riprodurre le build con un rischio minore di ricevere in modo silenzioso codice alterato. Gli aggressori spesso sfruttano il problema opposto: riferimenti mutabili che possono essere sostituiti, sovrascritti o avvelenati in un registro di pacchetti, in un job CI/CD o in un canale di rilascio. L'uso di riferimenti immutabili non impedisce di per sé una compromissione, ma rende più facile rilevare manomissioni e più affidabili le decisioni di rollback.