GitHub Actions 의심 워크플로 승인 대기: 멈춘 CI를 재실행하기 전에 확인할 세 가지
테크
조회 4
GitHub는 2026년 7월 28일 공개 저장소에서 잠재적으로 악성인 워크플로 실행을 자동으로 승인 대기 상태로 둘 수 있다고 안내했습니다. 이는 실패 버튼을 누르는 일이 아니라, 변경 주체·워크플로 diff·권한을 짧은 순서로 확인하는 운영 작업입니다.
승인 전 운영 점검
지금 확인할 것
✓ 실행을 만든 커밋과 작성자를 확인하고, 예상하지 못한 workflow 파일 변경이 있는지 봅니다.
✓ 변경된 YAML에서 권한, 시크릿 사용, 외부 액션 참조를 diff로 검토합니다.
✓ 정상 변경이라고 확인된 경우에만 쓰기 권한이 있는 협업자가 인증된 웹 세션에서 승인하고, 판단 근거를 남깁니다.
왜 이 순서가 중요한가
한 항목만 보고 바로 행동하면 원인을 분리하기 어렵습니다. 목표와 제약을 먼저 적고, 결과를 확인한 뒤 다음 선택으로 넘어가면 불필요한 전환 비용을 줄일 수 있습니다.