PROJECT CASE STUDY
ALO — Artifact Lineage Observatory
Hướng dự án nhằm truy vết một artifact từ source commit qua build, dependency, SBOM và provenance tới bước verification, nhưng hiện mới ở giai đoạn khởi tạo repository và xác định outcome.
A project direction for tracing an artifact from source commit through build, dependencies, SBOM, provenance, and verification; it is currently limited to repository initialization and outcome definition.
- Trạng tháiStatus
- Concept · repository initializedConcept · repository initialized
- Lĩnh vựcDomain
- Artifact lineage · Supply-chain security · MLOps metadataArtifact lineage · Supply-chain security · MLOps metadata
- Cập nhậtUpdated
- 2026-07-16
01 / PROBLEM
Vấn đềProblem
Khi artifact được build và chuyển qua nhiều bước, việc trả lời “artifact này đến từ source nào, được tạo bằng toolchain nào và đã qua kiểm tra gì?” thường thiếu một lineage record thống nhất.
As artifacts move through build and delivery stages, answering “which source produced this, with which toolchain, and under which checks?” often lacks a unified lineage record.
02
Bối cảnhContext
ALO được chọn vì tiềm năng trở thành flagship trực tiếp cho MLOps/DevSecOps. Tuy nhiên repository public hiện chỉ có commit khởi tạo; chưa có schema, CLI, pipeline, SBOM generator hay verification result để trình bày như implementation.
ALO is selected for its potential as a direct MLOps/DevSecOps flagship. The public repository currently contains only its initialization commit; no schema, CLI, pipeline, SBOM generator, or verification result exists yet.
03
Ràng buộcConstraints
- Không đưa ALO thành “working platform” cho tới khi có executable slice và evidence được sinh tự động.Do not present ALO as a working platform until an executable slice and automatically generated evidence exist.
- Lineage record phải gắn với exact commit, toolchain, checksum và validation source; missing data phải là unknown chứ không được suy đoán.Lineage records must reference exact commits, toolchains, checksums, and validation sources; missing data must remain unknown rather than inferred.
- MVP phải local-first, mã nguồn mở và không phụ thuộc dịch vụ trả phí.The MVP must be local-first, open source, and independent of paid services.
04
Vai trò của tôiMy role
Đề xuất bài toán, định vị Artifact Lineage Observatory và xác định hướng MVP evidence-first; implementation vẫn chưa bắt đầu.
Proposed the problem, positioned the Artifact Lineage Observatory, and defined an evidence-first MVP direction; implementation has not started.
05
Kiến trúcArchitecture
- Planned source adapter đọc repository, exact commit và build context.A planned source adapter reads repository, exact commit, and build context.
- Planned manifest layer liên kết artifact checksum với dependency/SBOM, toolchain và quality checks.A planned manifest layer links artifact checksums to dependencies/SBOM, toolchain data, and quality checks.
- Planned verifier kiểm tra schema, checksum và provenance rồi xuất static evidence report.A planned verifier validates schema, checksums, and provenance before exporting a static evidence report.
06
Quyết định kỹ thuậtTechnical decisions
- Bắt đầu bằng một artifact type và một local build pipeline thay vì cố hỗ trợ mọi ecosystem.Start with one artifact type and one local build pipeline instead of attempting every ecosystem.
- Machine-readable manifest là nguồn sự thật; UI chỉ là projection có thể tái tạo.The machine-readable manifest is the source of truth; the UI is a reproducible projection.
- Trạng thái unknown, stale và unverifiable là output hợp lệ.Unknown, stale, and unverifiable are valid output states.
07
Kiểm thử và validationTesting and validation
- Hiện chỉ xác minh được repository public và commit khởi tạo; chưa có automated validation.Only the public repository and initialization commit can currently be verified; no automated validation exists.
- Planned MVP gate gồm schema validation, checksum verification, fixture tests và reproducible clean build.Planned MVP gates include schema validation, checksum verification, fixture tests, and a reproducible clean build.
08
ObservabilityObservability
- Planned report sẽ ghi source commit, generated timestamp, toolchain, checks, artifact hash và freshness state.The planned report records source commit, generation timestamp, toolchain, checks, artifact hash, and freshness state.
09
Bảo mậtSecurity considerations
- Manifest phải có visibility classification và không được xuất secret, private repository metadata hoặc raw scanner findings.Manifests require visibility classification and must not publish secrets, private-repository metadata, or raw scanner findings.
10
Failure modesFailure modes
- Manifest thiếu source, checksum không khớp, build không tái lập hoặc provenance không thể xác minh.Missing source metadata, checksum mismatch, non-reproducible builds, or unverifiable provenance.
11
Kết quả hiện cóCurrent results
- Repository ALO đã được khởi tạo với tên Artifact Lineage Observatory; chưa có executable prototype hoặc metric.The ALO repository has been initialized as Artifact Lineage Observatory; no executable prototype or metric exists.
12
Bài họcWhat I learned
- Tiềm năng nghề nghiệp không thể thay thế implementation evidence; portfolio phải hiển thị rõ khoảng cách này.Career relevance cannot substitute for implementation evidence; the portfolio must make that gap explicit.
13
Bước tiếp theoWhat I would improve next
- Viết ADR cho MVP scope, định nghĩa manifest schema v0.1 và tạo một vertical slice source commit → build → checksum → verification report.Write an MVP-scope ADR, define manifest schema v0.1, and build a source commit → build → checksum → verification-report vertical slice.
EVIDENCE
Bằng chứng và liên kếtEvidence and links
Chỉ liên kết artifact đang tồn tại; planned work luôn được ghi rõ.
Only existing artifacts are linked; planned work remains explicit.