GitHub заблокирует pull_request_target в публичных репозиториях с 2 декабря

GitHub объявил о планах с 2 декабря блокировать по умолчанию событие pull_request_target в публичных репозиториях. Это один из триггеров GitHub Actions — системы автоматизации задач, которая позволяет запускать сценарии (workflows) при определенных действиях с кодом. Решение связано с тем, что pull_request_target дает доступ к секретам проекта (например, паролям или токенам), но при этом может выполнять непроверенный код из pull request, что создает уязвимость для атак.

Перед введением постоянного ограничения GitHub проведет две тестовые блокировки. Разработчики смогут заранее проверить свои сценарии и при необходимости изменить настройки, чтобы избежать сбоев в работе. Это касается всех публичных репозиториев, где используются workflows с событием pull_request_target.

Для компаний и разработчиков, которые автоматизируют сборку, тестирование или деплой через GitHub Actions, это означает необходимость пересмотреть CI/CD пайплайны (процессы непрерывной интеграции и доставки). Особенно важно это для проектов, связанных с ИИ, где в секретах могут храниться ключи доступа к API (интерфейсам взаимодействия) больших языковых моделей или облачным сервисам. Рекомендуется заменить pull_request_target на более безопасные триггеры, например, pull_request, и явно указывать разрешенные источники кода.