Un artefatto di release è un file software impacchettato distribuito agli utenti, agli mirror o ai sistemi di aggiornamento. Esempi comuni includono programmi di installazione, archivi ZIP o tar, immagini disco e bundle di aggiornamento firmati. È il deliverable che gli utenti finali scaricano effettivamente, non il codice sorgente sottostante.
Gli artefatti di release sono importanti perché si trovano al centro della fiducia nella supply chain del software. I team di sicurezza usano firme, checksum e metadati di provenienza per dimostrare che un artefatto proviene dall'editore previsto e non è stato alterato dopo la release. Gli aggressori prendono di mira gli artefatti manomettendo i download, sostituendo il contenuto degli mirror o abusando di chiavi di firma rubate. I difensori li proteggono con una solida gestione delle chiavi, build riproducibili, pipeline di pubblicazione controllate e verifica dell'integrità, così che gli utenti possano rilevare corruzione o sostituzione prima dell'installazione.