GitHub Actions : une bombe à retardement pour la supply chain security
GitHub Actions est devenu incontournable pour le CI/CD, mais reste insecure by default. En 2025, plusieurs supply chain attacks (tj-actions, s1ngularity, GhostAction, Shai-Hulud) ont exfiltré des secrets, prouvant que les attaquants ciblent massivement la CI. Les bonnes pratiques classiques (pin d’actions, limiter les secrets) sont loin d’être suffisantes. Ce talk montre comment ces attaques fonctionnent, pourquoi le modèle de sécurité actuel de GitHub est inadapté et surtout quelles défenses concrètes adopter : scoped secrets avec règles d’approbation, permissions minimales sur le GITHUB_TOKEN, egress controls, durcissement des runners et outils de protection runtime.
talkDetail.whenAndWhere
Thierry ABALEA
talkDetail.shareFeedback
talkDetail.feedbackNotYetAvailable
talkDetail.feedbackAvailableAfterStart
talkDetail.signInRequired
talkDetail.signInToFeedbackDescription
occupancy.title
occupancy.votingNotYetAvailable
occupancy.votingAvailableBeforeStart
talkDetail.signInRequired
occupancy.signInToVoteDescription
comments.speakerNotEnabledComments