Ligt eraan waar je het pakket vandaan haalt. Ik ben niet zo
bekend met RPM maar als je daarbij iets dergelijks als APT
gebruikt, RPM distros schijnen iets soortgelijks te hebben,
dan is het meestal wel zo dat gecontroleerd wordt of er niet
mee geknoeid is op de mirror vanwaar je het download.
Dus, naar jouw vraag; als je KDE gaat updaten met de
faciliteiten die je linux installatie biedt, dan zal
hoogstwaarschijnlijk de package gecontroleerd worden om
zeker te zijn dat er niet mee geknoeid is (soort van zegel).
Als je zelf de RPM download dan wordt dit niet automatisch
gecontroleerd. In dat geval zul je het moeten verifieren met
PGP, hoewel een andere - iets minder veiligere - methode ook
kan, nl. het ".md5" bestandje download vanaf de voornaamste
distiributie-server en het pakket downloaden van een
nederlandse mirror, waarna je met md5sum kunt vergelijken of
er niet mee geknoeid is.