GitHub Actions holds potentially malicious workflows for approval - GitHub Changelog

GitHub Actions holds potentially malicious workflows for approval Recent supply chain attacks use compromised GitHub credentials to push malicious GitHub Actions workflows that steal CI/CD credentials and carry out additional attacks. To help protect public repositories from these attacks, GitHub Actions now holds certain workflow runs for approval before they start. When a workflow run is identif

[nguyen-oi]

サプライチェーン攻撃対策で承認挟むのは妥当だけどCI遅くなりそう

[Kesin]

GitHub Actionsを狙った攻撃への対策としてGitHubはpublicリポジトリでは潜在的に悪意のあるワークフロー実行を検出すると承認されるまでActionsが実行されないようにするとのこと。判定基準などの詳細は書かれていない

[mizdra]

良さそうと思いつつ、UI 上はどう表示されるんだろう。人は Approve ボタンがあったら何も考えずについ押してしまうので、危険性があるために自動で実行されなかったことが UI 上に表示されてほしい。