litellm v1.106.3更换镜像签名密钥，旧cosign验证将失败
BerriAI在litellm v1.106.3发布说明中称，Docker镜像和Helm chart改用commit e82a3c6中的新cosign密钥签名；固定旧cosign.pub的验证脚本、CI检查和准入策略需要同步更新。
AI解读：litellm v1.106.3的发布说明将“部署”列为需要操作的一项：镜像签名所用的cosign密钥已更换。
需要更新的对象包括固定旧cosign.pub的cosign verify脚本、CI检查，以及Kyverno、Sigstore policy-controller、Connaisseur等准入策略。
发布说明给出新cosign.pub的SHA-256：e3fe3e08c44b16407fe0b37c43b4f8b603b3a0f4ee74c29e647bc022d762c2c0，并示例用新密钥地址验证ghcr.io/berriai/litellm:v1.106.3，同一命令适用于litellm-database、litellm-non_root及docker.io/litellm/* 镜像。
该版本说明列出 4 个PR、1 项变更、1 项移除、1 项需要操作；变更与移除（移除eMudhra根CA）也出现在 1.103.8、1.104.6、1.105.4 的发布说明中。
BerriAI在litellm v1.106.3的发布说明中表示，该版本的Docker镜像和Helm chart已改用commit e82a3c6中的新cosign密钥签名。发布说明提示，继续用commit 0112e53的旧密钥验证会失败。
哪些验证配置需要改
发布说明把这一项列为“需要操作”，并点名三类对象：固定旧cosign.pub的cosign verify脚本、CI检查，以及Kyverno、Sigstore policy-controller、Connaisseur等准入策略。
新cosign.pub的SHA-256为e3fe3e08c44b16407fe0b37c43b4f8b603b3a0f4ee74c29e647bc022d762c2c0。发布说明给出的验证命令使用raw.githubusercontent.com上commit e82a3c6路径下的cosign.pub，验证ghcr.io/berriai/litellm:v1.106.3；同一命令也适用于litellm-database、litellm-non_root和docker.io/litellm/* 镜像。
这个版本还列了哪些改动
发布说明称v1.106.3包含 4 个PR：1 项变更、1 项移除、1 项需要操作。除更换签名密钥外，另一项变更与移除相关：从SDK、proxy和Docker镜像信任的所有证书包中移除eMudhra根CA（#47670、#47969、#48139）。
发布说明注明，更换cosign密钥和移除eMudhra根CA也出现在 1.103.8、1.104.6、1.105.4 的发布说明中。