GitHub опубликовал обзор текущих и будущих инициатив в сфере безопасности открытого ПО, уделив особое внимание защите цепочки поставок и атакующим кампаниям, которые нацелены на кражу секретов и компрометацию GitHub Actions.
Компания отмечает рост атак на экосистему open source, где злоумышленники пытаются выкрасть секреты (например, API-ключи), использовать их для публикации вредоносных пакетов с подконтрольных машин и затем расширять доступ к новым проектам. Часто такие атаки начинают с поиска уязвимых GitHub Actions workflows.
GitHub рекомендует пользователям немедленно усилить защиту пайплайнов. Ключевой шаг — включить CodeQL для анализа GitHub Actions (бесплатно для публичных репозиториев), чтобы автоматически проверять workflow на соответствие лучшим практикам безопасности.
Также GitHub советует изучить расширенные рекомендации по безопасности Actions и использовать инфраструктуру оповещений. При обнаружении атак компания публикует информацию о скомпрометированных зависимостях в Advisory Database; разработчики могут получать уведомления напрямую из этой базы или через Dependabot, который также бесплатен для публичных репозиториев.
GitHub отдельно подчеркивает проблему использования секретов в workflows. Вместо них предлагается применять токены OpenID Connect с удостоверением нагрузки для авторизации действий. Уже реализована поддержка такого подхода у ряда облачных провайдеров, репозиториев пакетов и других сервисов.
В сотрудничестве с инициативой OpenSSF GitHub развивает механизм trusted publishing. Trusted publishing уже поддерживается в npm, PyPI, NuGet, RubyGems, Crates и других репозиториях пакетов. Этот механизм позволяет отказаться от секретов в конвейерах сборки, а исчезновение trusted publishing у пакета становится важным сигналом для сообщества о возможном использовании украденных учетных данных.
npm как крупнейший репозиторий пакетов, где ежедневно публикуется более 30 000 пакетов, находится под постоянным мониторингом: каждая версия пакета сканируется на вредоносный код. Алгоритмы детектирования регулярно обновляются, а все срабатывания проверяются вручную, чтобы свести ложные срабатывания к минимуму и не блокировать законные публикации.
GitHub напоминает, что атаки Shai-Hulud в 2025 году стали причиной пересмотра и усиления дорожной карты безопасности npm. В ответ компания ускорила внедрение trusted publishing для npm, расширила возможности обнаружения и удаления вредоносного ПО и начала активнее работать с мейнтейнерами для выявления мер, которые дадут наибольший эффект для безопасности.
При этом GitHub признает, что даже согласованные сообществом изменения нередко требуют от разработчиков корректировки процессов, а иногда приводят к обратной несовместимости. Компания подчеркивает, что старается обеспечить максимально плавный переход к новым настройкам безопасности.
На фоне последних атак GitHub также пересматривает дорожную карту по безопасности GitHub Actions и ускоряет реализацию уже запланированных улучшений. Пользователям предлагается делиться отзывами по этому курсу в специальной дискуссии сообщества.
GitHub называет открытое ПО «глобальным общественным благом» и одним из крупнейших совместных проектов человечества. Компания заявляет, что атаки на open source продолжатся, однако GitHub намерен защищать экосистему — будь то npm, Actions или новые платформы, которые появятся дальше, — и рассчитывает на обратную связь разработчиков по приоритетам и ходу перехода к более безопасной инфраструктуре.
Источник: блог GitHub и материалы компании о безопасности цепочки поставок и GitHub Actions.
