13 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a github-actions.
Aikido Security descreve "PromptPwnd", uma classe de prompt injection que afeta GitHub Actions/GitLab CI integrados a agentes de IA (Gemini CLI, Claude Code, OpenAI Codex) e já comprometeu pelo menos cinco empresas da Fortune 500; mitigação inclui sanitização de inputs e limitação de privilégios.
Campanha Shai Hulud v2 compromete 834 pacotes em npm e Maven e utiliza GitHub Actions para colher tokens (GITHUB_TOKEN, NPM_TOKEN, AWS_ACCESS_KEY_ID), instalar runtimes (Bun) e exfiltrar segredos, incluindo rotina destrutiva quando propagação falha.
Um pacote npm malicioso com mais de 206.000 downloads, publicado como "@acitons/artifact" (typosquatting), incluía hooks post‑install para roubar tokens de ambientes GitHub Actions e enviar dados encriptados a servidores de comando e controle.