回答編集履歴

  つまり、分散型VCSであるGitのコミットは特定のリポジトリに依存していない。push/pullであちらこちらのリポジトリに存在できる。従って、とあるリポジトリが信頼できるからといって、そこにある全てのコミットを無条件に信頼できるわけではない。そのコミットは元々は余所の信頼できないリポジトリで作成されたものかもしれないのだ。

  従って、信頼はリポジトリに対してではなく、コミットに対して与えなければならない。