Publish cosign signatures for release OCI images

## Context

PR #121 documents that GitHub Release assets are published with SHA256 checksums and keyless cosign signatures. OCI image signatures are still intentionally listed as future work.

## Scope

- Identify the OCI images and immutable digests that are published by the release workflow.
- Extend the release workflow to sign published image digests with keyless cosign after image publication.
- Document the expected certificate identity, issuer, and verification command in `release/VERIFY.md`.
- Update the public security self-assessment and product security-assurance docs once image signatures are actually published.

## Done when

- A new public release publishes verifiable cosign signatures for release image digests.
- `release/VERIFY.md` includes a copy/paste verification flow for those images.
- The docs no longer need to list OCI image signatures as a gap.

## Non-goals

- Do not document private registry access, deployment credentials, or non-public release evidence.

Inizia esaminando il workflow di release per identificare le immagini OCI e i digest immutabili che pubblica, quindi esamina release/VERIFY.md e l’autovalutazione pubblica della sicurezza e i documenti di garanzia della sicurezza del prodotto. Estendi il processo di release per includere la firma keyless con cosign e documenta l’identità del certificato, l’emittente e il comando di verifica. Il lavoro è completato quando una release pubblica dispone di firme delle immagini verificabili e la documentazione non le elenca più come una lacuna.

Scritto dal modello di indicizzazione a partire dal testo della issue.