专题：codeql

GitHub针对新型开源供应链攻击推出系统性防护方案，涵盖CodeQL安全检测、工作流触发限制、第三方Actions哈希固定等措施。通过与OpenSSF合作实现跨包仓库的可信发布机制，采用OpenID Connect令牌替代敏感信息，有效阻断恶意软件包扩散路径。文章披露了GitHub在npm安全加固方面的具体规划，强调安全机制与开源社区协作的重要性。

GitHub 引入 AI 驱动安全检测，扩展代码安全覆盖范围。该功能与 CodeQL 结合，提升漏洞检测能力，并在拉取请求中集成修复建议。AI 检测在新生态系统中表现突出，Copilot Autofix 提高修复效率，确保安全措施在合并前落实。