La supply chain CI/CD è l'insieme collegato di strumenti, repository di codice, fasi di build, segreti, runner e automazione che trasformano il codice sorgente in un'applicazione distribuita. Include elementi come GitHub Actions riutilizzabili, registri di pacchetti, script di distribuzione e i token che consentono ai workflow di accedere alle risorse.
Questo è importante perché ogni componente affidabile può diventare un percorso di attacco. Se un'azione upstream, un plugin o una dipendenza di build viene compromessa, codice malevolo può essere eseguito all'interno di un workflow automatizzato con gli stessi privilegi della pipeline. I difensori riducono questo rischio bloccando le azioni riutilizzabili a hash SHA di commit esatti, limitando i permessi dei token, evitando trigger rischiosi come pull_request_target per input non attendibili e verificando ciò che ogni workflow è autorizzato a fare. In pratica, gli attacchi alla supply chain CI/CD abusano della fiducia nell'automazione invece di compromettere direttamente l'applicazione.