ci(release): bump artifact and attest actions to Node 24 runtimes

GitHub은 2026-06-02부터 Node.js 20 기반 액션을 Node.js 24로 강제 실행하고,
Node 20 런타임은 2026-09-16에 러너에서 제거된다. release.yml의 SHA-핀 액션
3종이 아직 Node 20에서 동작해 deprecation 경고가 발생했다.

- upload-artifact v4.6.2 → v7.0.1 (node24, 기본 archive 동작 유지)
- download-artifact v4.3.0 → v8.0.1 (node24, name 기반 다운로드 경로 불변,
  해시 불일치 시 기본 error로 강화 — supply-chain 하드닝과 부합)
- attest-build-provenance v2.4.0 → v4.1.0 (node24 서브액션, subject-path 입력 유지)

각 핀이 해당 버전 태그의 커밋 SHA와 일치함을 교차검증했고, 우리 사용 패턴
(name 기반 업로드/다운로드, subject-path attest)은 메이저 점프의 breaking
change에 영향받지 않는다. 러너는 ubuntu-latest로 최소 요구 버전(2.327.1)을
항상 충족한다.

.github/workflows/release.yml

@@ -42,9 +42,9 @@ jobs:
           npm run build
 
       - name: Upload build artifacts
-        # SHA-pinned (v4.6.2) for supply-chain hardening consistency
+        # SHA-pinned (v7.0.1) for supply-chain hardening consistency
         # with the attest step. Bump SHA together with comment.
-        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a
         with:
           name: plugin-build
           path: |
@@ -71,14 +71,14 @@ jobs:
           persist-credentials: false
 
       - name: Download build artifacts
-        # SHA-pinned (v4.3.0).
-        uses: actions/download-artifact@d3f86a106a0bac45b974a628896c90dbdf5c8093
+        # SHA-pinned (v8.0.1).
+        uses: actions/download-artifact@3e5f45b2cfb9172054b4087a40e8e0b5a5461e7c
         with:
           name: plugin-build
 
       - name: Attest build provenance
-        # SHA-pinned (v2.4.0). When bumping, update both SHA and comment.
-        uses: actions/attest-build-provenance@e8998f949152b193b063cb0ec769d69d929409be
+        # SHA-pinned (v4.1.0). When bumping, update both SHA and comment.
+        uses: actions/attest-build-provenance@a2bbfa25375fe432b6a289bc6b6cd05ecd0c4c32
         with:
           subject-path: |
             main.js