GitHubは2026年7月27日(現地時間)、GitHub Actionsにおいて、悪意のある可能性のあるワークフローの実行を自動的に保留し、承認を必要とする新機能をリリースした。この機能は、特にパブリックリポジトリを対象とし、サプライチェーン攻撃によるCI/CDクレデンシャル窃取などの脅威から保護することを目的としている。
悪意ある可能性のあるワークフローが特定されると、書き込み権限を持つリポジトリコラボレーターによるレビューと承認があるまで、そのワークフローは実行されない。承認は認証されたウェブセッションを通じて行われ、一度承認されるとワークフローは通常通り進行する。
この保護機能は利用者が設定する必要はなく、GitHubが自動的に適用する。現在のところ、github.com上のパブリックリポジトリにのみ適用され、GitHub Enterprise Serverには現時点では追加されない。
参考: github.blog (アーカイブ) — 2026年7月28日 09:00 (JST)
原文ハイライト"GitHub Actions now holds certain workflow runs for approval before they start."
この記事をシェア