AI 生成的软件需要一种超越瞬时交互的持久性来源记录（provenance）。现有的代码审查无法揭示生成模型、影响生成的提示词或执行上下文。来源记录通过将代码生成视为可追溯的供应链事件来弥合这一差距。这一概念与既有的标准相一致，例如用于建模来源记录的 W3C PROV，以及用于软件制品生产验证的 SLSA。一个关键原则是将作者身份与来源记录分离，因为来源记录描述的是起源，而非所有权。AI 生成内容的法律所有权由版权法和合同协议决定，而不仅仅取决于生成过程。美国版权办公室强调，版权保护需要显著的人类作者身份。来源记录作为归属和问责的证据，通过提供可验证的历史记录来支持审计和审查。最终，来源记录确保了 AI 软件开发生命周期中的透明度。