研究人员发现GitHub供应链攻击活动

发生了什么

据The Register报道，Radware研究人员发现一起针对61个公共GitHub仓库的供应链攻击活动。攻击者利用GitHub Issues、Pull Requests或评论中隐藏的HTML注释植入恶意命令，旨在触发CI/CD工作流以窃取凭据和访问令牌。该活动涉及74个GitHub账户，大部分恶意内容在9月1日43分钟内发布。截至10月13日，研究人员共识别出83个包含恶意载荷的项目，受影响仓库涵盖AI框架、安全工具及开发基础设施等领域。研究人员已向项目维护者披露发现，并建议通过最小权限原则加固CI/CD工作流。