Zizmor

GitHub Actions 安全工具因可变标签漏洞被攻破

一个名为“TeamPCP”的恶意行为者于 2026 年 3 月 19 日至 3 月 24 日期间，通过强制推送其 GitHub Actions 仓库上的可变标签，攻破了 Trivy 和 KICS 等流行的安全工具。这使得攻击者能够将恶意代码注入到未固定到特定提交 SHA 的 CI 管道中，从而导致敏感数据（如密钥、SSH 密钥和云凭证）被窃取。为缓解此风险，建议用户将 GitHub Actions 固定到不可变的提交 SHA，审核其工…