GitHub ставит файрвол между разработчиками и пакетами, чтобы остановить кражу учётных данных при установке
GitHub package firewall
Всё больше атак нацелено на момент установки пакета: вредоносный код крадёт учётные данные на CI/CD-хостах и машинах разработчиков, даже не запускаясь. GitHub представил package firewall — он встаёт между Actions runners, coding agents и вышестоящими реестрами, проверяя и метаданные, и сами загрузки. Администраторы задают политики: период ожидания, сверку с GitHub Advisory Database, проверки цепочки поставок. Пока доступно в public preview для GitHub Enterprise Cloud, бесплатно и только для npm.
Всё больше вредоносных атак эксплуатируют системы в момент установки пакета, собирая учётные данные на CI/CD-хостах или рабочих станциях разработчиков ещё до того, как код пакета вообще запустится.