Un ambiente CI/CD è il sistema automatizzato che compila, testa, impacchetta e distribuisce continuamente il software. CI significa integrazione continua, in cui le modifiche al codice vengono unite e validate frequentemente. CD significa delivery continua o distribuzione continua, in cui le build approvate vengono portate verso il rilascio con un minimo di passaggi manuali.
Nella sicurezza informatica, gli ambienti CI/CD sono obiettivi di alto valore perché possono gestire codice sorgente, segreti, chiavi di firma e artefatti di rilascio. Se un attaccante compromette una pipeline, può inserire codice malevolo in software attendibile, avvelenare le dipendenze o alterare l'output di build prima che raggiunga gli utenti. I difensori monitorano attentamente questi sistemi con controlli di provenienza, firma degli artefatti, credenziali limitate e accesso con il principio del privilegio minimo. Negli attacchi alla supply chain, un'attività insolita dei pacchetti o richieste di rete inattese dai server di build possono essere un segnale che la pipeline stessa è diventata parte del percorso di attacco.