智能体添加了一个获批的直接软件包。哪项证据最适合检查实际安装和分发的内容？

智能体添加了一个获批的直接软件包。哪项证据最适合检查实际安装和分发的内容？

1. 核对清单、冻结的锁文件图、软件包内容、安装脚本和关联产物的 SBOM
2. 只读新增清单行，因为传递软件包不是直接请求的
3. 软件包 README 显示获批徽章时直接接受
4. 智能体摘要写出了直接软件包版本时就信任它