«Ротируйте всё» — это не план. Разбираемся задела ли атака на цепочку поставок ваш GitHub Actions
Знакомый жанр новостей, правда? В популярный пакет или action подсунули вредоносный код, и все бегут проверять свои сборки. Таких историй за полтора года набралось как минимум три. В марте 2025 года у tj-actions/changed-files перенаправили теги на коммит, который печатал секреты прямо в лог сборки. 31 марта 2026 года в npm на несколько часов попали вредоносные axios@1.14.1 и axios@0.30.4: они тянули зависимость plain-crypto-js со скриптом postinstall, и любая сборка, поставившая их с включёнными install‑скриптами, выполнила чужой код. А 4 августа 2026 года началась волна ChainDrop, и вот тут масштаб был совсем другой: по данным Aikido, начиная с keyv@6.0.0 скомпрометировано не меньше 444 пакетов.И каждый раз под такой новостью звучит один и тот же совет: проверьте логи и ротируйте все секреты. Совет правильный. А вы сами его когда‑нибудь выполняли? И как успехи? В организации десятки репозиториев и сотни секретов. С какого начинать? Какие точно трогать не нужно? И в какой момент можно выдохнуть и сказать «всё, мы чисты»?Я предлагаю зайти с другой стороны и задать вопрос поуже: какие именно запуски GitHub Actions в окне инцидента получили плохую версию пакета или action, что эти job’ы могли увидеть и, значит, что ротировать первым. Для ответа вам хватит двух инструментов — gh и jq. Никаких платных сканеров, никакой магии. Давайте пройдём это вместе, по шагам.И одна просьба: не откладывайте. По умолчанию GitHub хранит логи и артефакты запусков 90 дней, а потом восстановить картину уже нельзя. Для ChainDrop, если срок хранения в репозитории не меняли, это примерно 2 ноября 2026 года. Что ротировать первым