¿Por qué firmar las tags de Git?

Git ofrece la opción de firmar tags anotadas con tu key privada GPG, pero ¿qué hay de malo con solo aceptar el origen reclamado de una label? ¿Qué daño puede hacer una label falsificada cuando la label no altera la confirmación?

¿Qué hay de malo con solo aceptar el origen reclamado de una label?

Si no tiene garantía de que sea correcto, debe confiar en que cada persona que tenga acceso al repository (autorizada o no) no cree falsamente una label. Garantías de firma (al less tanto como GPG puede ofrecer) que la persona que creó la label es quien usted cree que es.

¿Qué daño puede hacer una label falsificada cuando la label no altera la confirmación?

Ninguna. Parece que has confundido dos ideas diferentes aquí. Una label y una confirmación son objects completamente separados: una label apunta a una confirmación, pero una label no es una confirmación. Por lo tanto, una label nunca alterará una confirmación. Esto es potencialmente donde radica más peligro: una label falsificada no cambiará el historial de compromisos de forma inesperada, y pasaría más desapercibida.