Un build agent è una macchina worker o un servizio che riceve job da un server CI/CD ed esegue tali job. Può compilare il codice, eseguire test, impacchettare artifact o distribuire software. Di solito il server orchestra il flusso di lavoro, mentre l'agent esegue le effettive fasi di build in un ambiente isolato o semi-isolato.
I build agent sono importanti perché spesso gestiscono codice sorgente, credenziali, chiavi di firma e token di distribuzione. Se un attaccante compromette il server CI/CD, un job malevolo può essere inviato agli agent, trasformandoli in bersagli di esecuzione. I difensori riducono questo rischio con il principio del minimo privilegio, una forte autenticazione degli agent, la segmentazione di rete e host separati per il piano di controllo e i worker. Limitare ciò a cui gli agent possono accedere aiuta a contenere i danni se un job di build o il server vengono abusati.