GitHub Actions 扣留潜在恶意工作流以待审批

事件核心：发生了什么

GitHub 官方 Changelog 宣布，GitHub Actions 已开始自动检测并扣留推测为恶意的 workflow run（工作流运行）。当 GitHub 的安全分析模型判定某个工作流可能由被泄露的凭据触发、试图窃取 CI/CD 凭据或实施后续攻击时，该工作流不会立即执行，而是进入“等待审批”状态。只有仓库中具有 write 权限的协作者通过经过认证的 Web 会话批准后，工作流才会继续运行。这项保护默认开启，无需用户手动配置。目前它仅作用于 github.com 上的公共仓库，暂不涵盖 GitHub Enterprise Server。

为什么重要

近期的供应链攻击案例显示，攻击者通过窃取开发者 GitHub 凭据，向公共仓库推送恶意 Actions 工作流，借此窃取上下游 CI/CD 密钥并横向渗透。GitHub Actions 是 AI/ML 项目最常用的 CI/CD 平台之一（模型训练流水线、推理部署、数据集自动化处理均依赖它），任何一个公共仓库中的恶意工作流都可能导致整个软件供应链污染。GitHub 此次直接在产品层面对冲这种风险，意味着安全策略从“事后响应”转向“运行前阻断”，对开源生态的信任体系有实质加固作用。同时，它也给其他 CI/CD 提供商（如 GitLab CI、CircleCI）树立了默认安全的新标杆。

对用户/开发者/创作者的影响

对于使用 GitHub 公共仓库的个人开发者或组织：安全提升几乎零成本——保护自动启用，但需注意工作流可能因误判被短暂卡住，需要具有写权限的协作者及时登录 Web 界面完成审批。对于 AI 模型训练等需要频繁运行长任务的工作流，审批流程可能影响自动化时效，建议团队事先明确审批责任人。对于企业用户（GitHub Enterprise Server 版本），该保护暂时缺席，需继续通过传统手段（如分支保护规则、密钥扫描）防范。对于所有依赖 GitHub Actions 的开源项目，该机制降低了下游用户误用恶意 Action 的风险，间接保护了 CI/CD 流水线的完整性和大模型训练数据的安全交付。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

第一，GitHub 是否会将保护范围扩展至私有仓库和 GitHub Enterprise Server，这直接影响企业内部合规流程设计。第二，误判率与审批负担的平衡——若大量合法工作流被扣留，将迫使团队调整工作流触发条件或增加监控。第三，攻击者可能尝试故意制造低风险假阳性来消耗社区审批精力，GitHub 的防御模型能否快速迭代应对尚待观察。此外，该功能的公开文档和日志审计能力是否完善，将决定它在大型团队中的落地深度。

来源：GitHub Changelog