L'hardening dei runner è la pratica di proteggere le macchine o gli ambienti che eseguono i job delle pipeline CI/CD. Riduce la possibilità che il codice dei job possa influire su altri carichi di lavoro, accedere a sistemi non necessari o esporre credenziali. Tra le misure comuni figurano l'esecuzione dei job con privilegi minimi, l'isolamento dei carichi di lavoro, la limitazione dell'accesso alla rete e la rimozione dei file temporanei e delle credenziali al termine dell'esecuzione.
I runner sono importanti perché le pipeline eseguono codice, comprese dipendenze e fasi del flusso di lavoro che potrebbero essere compromesse o non attendibili. Un runner isolato in modo inadeguato o dotato di privilegi eccessivi può consentire a codice di job malevolo di raggiungere i segreti, persistere sull'host o interferire con i job successivi. I difensori possono ridurre questo rischio utilizzando runner di breve durata o dedicati, separando i job in base al livello di attendibilità, limitando l'ambito dei segreti e monitorando la configurazione dei runner. L'hardening integra le autorizzazioni del flusso di lavoro e la gestione dei segreti, ma non le sostituisce.