GitHub强化开源供应链安全：应对新型攻击与防御策略
The GitHub Blog2026/04/02 03:20机翻/自动摘要/自动分类
1 阅读
内容评分
技术含量
6/10
营销水分
5/10
摘要
GitHub针对新型开源供应链攻击推出系统性防护方案，涵盖CodeQL安全检测、工作流触发限制、第三方Actions哈希固定等措施。通过与OpenSSF合作实现跨包仓库的可信发布机制，采用OpenID Connect令牌替代敏感信息，有效阻断恶意软件包扩散路径。文章披露了GitHub在npm安全加固方面的具体规划，强调安全机制与开源社区协作的重要性。
正文
近期开源供应链攻击呈现新趋势，攻击者通过窃取API密钥等敏感信息，利用GitHub Actions工作流实现恶意软件包发布并扩散攻击。为应对这一威胁，GitHub提出四项核心防护措施：1) 通过CodeQL工具免费检测公共仓库的安全性；2) 禁用高风险工作流触发事件（如pull_request_target）；3) 采用完整SHA哈希固定第三方Actions配置；4) 强化用户提交内容的脚本注入防护。同时，GitHub已与OpenSSF等机构合作，在npm、PyPI等主流包仓库部署'可信发布'机制，通过OpenID Connect令牌替代敏感凭证，实现发布源验证与恶意包实时预警。针对2025年底Shai-Hulud攻击事件暴露的问题，GitHub正加速推进npm可信发布功能，优化恶意软件检测算法，并与开源维护者协作制定高效安全方案。