GitHub Actions получила lockfiles для защиты CI/CD от атак на цепочку поставок

GitHub Actions ввела workflow lockfiles: действия привязываются к конкретным commit SHA вместо изменяемых тегов, что блокирует атаки через подмену тегов и компрометацию мейнтейнеров. Функция вышла в публичную превью в октябре 2026 года для Enterprise Cloud, Team и Free.

• Lockfile хранится в .github/workflows/actions.lock и фиксирует commit SHA каждого действия
• Политика Require lockfile включается на уровне enterprise, организации или репозитория
• Dependabot обновляет lockfile автоматически, снижая число ручных проверок
• Удалённый или force-pushed commit приводит к жёсткому сбою workflow без отката на тег