Reference same-repository actions with self-repository syntax - GitHub Changelog
Reference same-repository actions with self-repository syntax You can now reference an action or reusable workflow that lives in the same repository using the new self-repository syntax. A uses: value that starts with $/ resolves to your workflow’s own repository at the exact commit that is running, with no checkout required. It works everywhere the workspace-relative ./ syntax works, including wo
6 security settings every GitHub maintainer should enable this week
At GitHub Security Lab, we spend a lot of our week talking to maintainers. Some find the settings page dense and the docs sprawl. Most maintainers we talk to weren’t hired to be security engineers. While this is true, ignoring a project’s security settings completely will lead into leaving a lot in the table in terms of automation and scalability, leading into a poor security posture, and before y
More control over your GitHub-hosted runners - GitHub Changelog
Menu. Currently selected: What you can do with macOS runners Organizations now have more control over who can use GitHub-hosted runners in Actions. Admins can now disable the standard labels for hosted runners such as ubuntu-latest, as well as add macOS runners to runner groups. What you can do with macOS runners Restrict access to macOS runners: Limit which organizations, repositories, or workflo
GitHub App の Device Flowでスコープを絞った短命なGitHubトークンを生成する - Qiita
はじめに GitHubの公式CLIであるghコマンドはべんりですが、非常に強い権限を持っているので攻撃する側から見ても魅力的です。特に gh auth token コマンドを実行するだけで簡単にGitHubトークンを抜けることは、もはや公然の秘密というか、みんな見て見ぬふりをしている大きな穴です。さらに都合の悪いことに、GitHubの公式CLIのOAuth Appで認証すると、このトークンには repo 権限があるので、自分がアクセス可能なプライベートリポジトリを読み書きでき、有効期限も設定されていないので、トークンが漏洩した場合の影響が大きくなりがちです。最近のマルウェアは個人のローカル端末を狙う攻撃が増えてきているので、GitHubトークンを抜かれた場合のダメージを如何に最小化するかというのは重要な課題です。 最初に思いつく代替案は、GitHub Fine-grained PATを使う
pinact v4
pinact v4.0.0 と pinact-action v3.0.0 をリリースしました。 本記事ではこれらのリリースについて紹介します。 まずは pinact v4 からです。 Breaking Changes Breaking Changes は幾つかありますが、 upgrade のブロッカーになるようなものは特にないと思います。 -review option の廃止 diff を常に出力するように変更 -diff, -check は -fix=false のエイリアスに変更 version comment が必須化 1. -review option の廃止 代わりに SARIF を出力し reviewdog に渡してください。 これは以前から案内してた通りです。 pinact run -format sarif | reviewdog -f sarif -name pinact
gh skillが登場。GitHub公式のスキル管理ツールにnpx skillsから乗り換えた
AIエージェント向けのスキル（Agent Skills）、みなさんはどう管理していますか？ 2026/04/16、GitHub公式CLIのghに、スキルをパッケージ管理する新しいサブコマンドgh skillが追加されました。GitHubのリポジトリに公開されているスキルをgh経由でインストール・アップデート・公開できます。私はこれまでnpx skillsでスキルをインストール・管理してきましたが、gh skillの方が安全面でよさそうなので乗り換えることにしました。 本記事では、メリットや実際の動作を紹介します。 3行まとめ gh skill install スキルでスキルをインストールできる gh skill publish スキルで自作スキルを仕様に沿って公開できる 改ざん検知・バージョン固定・由来情報の埋め込みなど、サプライチェーン対策が組み込み済み 環境準備 GitHub CLI
APM - Agent Package Manager
A dependency manager for AI agents -- like npm for agent context. APM is a dependency manager for AI agents. Declare the skills, prompts, instructions, plugins, and MCP servers your project needs in one apm.yml, then any developer runs apm install and gets the same agent context across GitHub Copilot, Claude Code, Cursor, OpenCode, Codex, Gemini, Windsurf, and Kiro.
GitHub App の秘密鍵を AWS KMS に閉じ込める
はじめに こんにちは konippi です。 2026 年 3 月、脆弱性スキャナーのTrivy が侵害されたことは大きなニュースとなりました。攻撃者は GitHub Actions ワークフローの設定 pull_request_target を悪用して PAT を窃取し、Trivy の公式リリースにクレデンシャルスティーラーを注入。数千の CI/CD パイプラインに影響を与えました。同時期に axios の npm パッケージ侵害や、 prt-scan キャンペーンも発生しています。 これらに共通するのは、信頼されたソフトウェアサプライチェーンの一部が侵害され、ソフトウェアの配布チャネルを通じて被害が大規模に伝搬するという構造です。中でも Trivy と prt-scan は、GitHub Actions の pull_request_target トリガーの設定不備を起点とした攻撃でし
Cursor Docs — Agent, Rules, MCP, Skills & CLI
Official Cursor documentation. Covers Agent mode, Rules, Skills, MCP servers, CLI, models, and Teams & Enterprise setup. Start building in minutes.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Managing repository settings with GitHub Safe-Settings
Malicious Postinstall Hook Found Across 700+ GitHub Reposito...
Megalodon: Mass GitHub Repo Backdooring via CI Workflows
https://x.com/i/status/2057162021444133057
warden-skills/skills/vercel-deepsec at main · getsentry/warden-skills
https://support.circleci.com/hc/en-us/articles/49131607657243-Rotating-the-GitHub-webhook-secret-for-CircleCI-GitHub-OAuth-project-triggers
How to scan for vulnerabilities with GitHub Security Lab’s open source AI-powered framework
Secret security with GitHub - GitHub Docs
Best Practices for Managing Secrets in GitHub Actions | Blacksmith
middleware/packages/session at main · honojs/middleware