GitHub CLI получил короткоживущие токены, но refresh-токен остаётся уязвим

GitHub CLI добавил опциональные короткоживущие access-токены на 8 часов с автообновлением, но refresh-токен хранится в системном keyring месяцами и на macOS читается без подтверждения. Автор CLI ghtkn утверждает, что его агент-бэкенд шифрует refresh-токен паролем и не отдаёт его клиентам.

• Access-токен gh теперь истекает через 8 часов, refresh-токен живёт до 6 месяцев без использования
• На macOS любой процесс от имени пользователя читает refresh-токен из Keychain без диалога
• ghtkn шифрует refresh-токен ключом из пароля и не имеет API для его выдачи
• Токены GitHub App в ghtkn ограничены организациями и репозиториями установки