La sicurezza delle pipeline CI/CD è diventata una priorità per l’intero ecosistema open source, soprattutto alla luce dei recenti attacchi alla supply chain.
GitHub interviene in questo contesto introducendo un nuovo meccanismo di protezione pensato per ridurre il rischio legato alle GitHub Actions.
La piattaforma ha infatti attivato un sistema che blocca automaticamente i workflow considerati sospetti nei repository pubblici, richiedendo un’approvazione manuale prima della loro esecuzione. La decisione nasce dall’osservazione di numerosi incidenti in cui account compromessi o modifiche malevole ai file di automazione hanno permesso di sottrarre credenziali e distribuire codice dannoso. Il cambiamento segna un passo concreto verso un modello di sicurezza più rigoroso.
Approvazione manuale per workflow sospetti
Il nuovo sistema viene applicato automaticamente su GitHub.com e non richiede configurazioni da parte degli utenti. Quando una Actions viene classificata come potenzialmente rischiosa, l’esecuzione viene sospesa prima dell’avvio. A quel punto è necessario l’intervento di un collaboratore con permessi di scrittura, che deve approvare manualmente il workflow tramite una sessione autenticata.
