GhostAction: права на workflow дают доступ к секретам CI/CD

Анализ атаки GhostAction показал: право менять файл workflow фактически равно праву читать секреты, к которым этот workflow имеет доступ. 8 октября 2026 года через два скомпрометированных аккаунта мейнтейнеров вредоносный security-audit.yml попал напрямую в default-ветки 345 репозиториев без ревью.

• Вредоносный workflow сканировал 13 шаблонов учётных данных и всю историю git
• Найденное отправлялось одним HTTP POST на жёстко заданный IP
• В uber/athenadriver токен был read-only, но сборщик всё равно подтвердил приём
• GitHub начал блокировать workflow 9 октября; волны 10 и 12 октября секретов не добыли