Un workflow di GitHub è una definizione di attività automatizzata, di solito in GitHub Actions, che viene eseguita quando si verifica un evento del repository, come un push, una pull request o un trigger manuale. Può compilare il codice, eseguire test, pubblicare artefatti o distribuire software su un runner, che è la macchina o il container che esegue il job.
I workflow sono importanti nella sicurezza informatica perché spesso gestiscono codice sorgente, secret, token, log e autorizzazioni di rilascio. Se un attaccante può influenzare gli input del workflow, potrebbe attivare un'iniezione di comandi, esporre credenziali o alterare l'output di una pipeline. I difensori riducono questo rischio usando token con privilegi minimi, separando i trigger affidabili da quelli non affidabili, convalidando gli input, bloccando le action a una versione specifica e aggiungendo passaggi di approvazione prima della distribuzione. Nei moderni sistemi CI/CD, anche gli strumenti di codifica basati su IA diventano parte di questo confine di fiducia se possono leggere file, eseguire comandi o modificare la logica del workflow.