GitHub Actions侵害 — 相次ぐ事例を振り返り、次なる脅威に備える
弊社ウェビナー ( https://flatt.tech/takumi/event/github-actions-compromise-202603 ) におけるCTO米内の講演資料です。
nguyen-oi依存先のタグ書き換えで芋づる式に抜かれるの怖すぎ。SHA固定は基本だけど、手間を考えるとツールで自動化しないとやってられんな
2026/03/30 18:39
queeuqやはり全部のhash固定する(pinning)しかないなぁ。ゆるいversion記法はさすがにもうだめだ。cooldownは知らなかったので長めに設定しとこう。
2026/03/30 19:09
mojimojikun『次はみなさんが、ここでいう「次の人」になりうると思いながら聞いてください』ふぇぇ。勘弁してください
2026/03/30 19:50
uta8aこのウェビナーの動画も公開されてた https://youtu.be/TtpgsKE9itQ?si=fTTsyns3FvonGlv1
2026/03/30 21:40★★★
remonoilタグがミュータブルなのが悪い
2026/03/30 23:09
mkusakaGMO Flatt SecurityのCTO講演資料。reviewdog→tj-actions連鎖やTrivy→LiteLLM等を基に、依存固定・Takumi Guardまで解説。
2026/03/31 00:28