Construcciones reproducibles 101:

Tomas código fuente - lo construyes - obtienes el mismo binario exacto cada vez (idéntico bit a bit). ¿Si el resultado difiere? Algo travieso ocurrió (puerta trasera, manipulación, ataque a la cadena de suministro). Es la mejor defensa de la criptografía contra dependencias comprometidas o actualizaciones maliciosas.

El problema:
Incluso si las construcciones son reproducibles, ¿cómo demuestras que toda la cadena es legítima? Código fuente, dependencias, entorno de construcción, registros, artefacto final... todo debe ser verificable sin confiar en GitHub, npm, o cualquier otro servicio.