Attendibilità pacchetto aggiornamento software

[JitterPing]

Buonasera a tutti,

sto per fare una domanda stupida probabilmente, ma non sono ancora riuscito a trovare una risposta esaustiva girovagando sia sul forum che su internet, e purtroppo mi frulla in testa già da un po.

Il tema riguarda i pacchetti software: sempre più sviluppatori mettono a disposizione, contestualmente al link di download, le stringhe di verifica SHA-1, SHA-256, PGP, firme varie, ecc al fine di verificare la bontà tra quanto pubblicato sul sito e quanto effettivamente scaricato dall'utente.
In altre parole un qualcosa di fondamentale per ridurre i rischi di malware e altra schifezza nelle fasi di download e installazione.

Tuttavia, una volta installato, come è possibile verificare gli aggiornamenti software forniti "in-app", ovvero quelli che in automatico, o anche manualmente, vengono segnalati/avviati direttamente all'interno dell'app (cerca aggiornamento)?
Questi ultimi non sono verificabili, sbaglio? L'unico argine sono i controlli dell'OS e/o l'antivirus eventualmente installato, sia che si parli di Win, MacOS, ecc.

Grazie in anticipo!