GitHub Actions ya permite bloquear tus workflows con lockfiles
Lock Your GitHub Actions
Fijar cada action a un SHA completo protegía frente a ataques de supply chain, pero era incómodo de mantener. Ahora GitHub Actions soporta lockfiles: con la extensión gh-actions-lock del CLI de gh puedes volver a usar etiquetas vX.Y.Z y generar un actions.lock que registra el commit exacto de cada dependencia. Renovate y Dependabot ya lo actualizan, y conviene verificar el lockfile en CI con zizmor.
Las etiquetas son mutables y susceptibles a ataques de supply chain en los que un atacante apunta una etiqueta antes segura hacia código malicioso.