Disponibilidade de Material de Apoio

Este pacote AAS inclui apenas a metodologia inline. O guia contribuído mencionou um arquivo de fundações, perfis de ação, resolução entre arquivos e nove arquivos de referência de vetor, mas esses arquivos e uma fonte upstream verificada independentemente estão ausentes. Não afirme que foram lidos. Aplique as verificações inline abaixo e relate detalhes de ação-versão não suportados como não verificados; recupere materiais externos apenas de uma fonte verificada com uma licença confirmada.

Auditor de Ações Agentes

Orientação de análise de segurança estática para fluxos de trabalho do GitHub Actions que invocam agentes de codificação de IA. Esta habilidade ensina como descobrir arquivos de fluxo de trabalho localmente ou de repositórios remotos do GitHub, identificar etapas de ação de IA, seguir referências entre arquivos para ações compostas e fluxos de trabalho reutilizáveis que podem conter agentes de IA ocultos, capturar configurações relevantes para segurança e detectar vetores de ataque onde a entrada controlada pelo atacante atinge um agente de IA em execução em um pipeline de CI/CD.

Quando Usar

• Auditoria de fluxos de trabalho do GitHub Actions de um repositório para segurança de agentes de IA
• Revisão de configurações de CI/CD que invocam Claude Code Action, Gemini CLI ou OpenAI Codex
• Verificação se a entrada controlada pelo atacante pode atingir prompts de agentes de IA
• Avaliação de configurações de ações agentes (configurações de sandbox, permissões de ferramentas, listas de permissão de usuários)
• Avaliação de eventos de gatilho que expõem fluxos de trabalho à entrada externa (pull_request_target, issue_comment, etc.)
• Investigação do fluxo de dados do contexto de eventos do GitHub através de blocos env: para campos de prompt de IA

Quando NÃO Usar

• Análise de fluxos de trabalho que NÃO usam nenhuma ação de agente de IA (use ferramentas gerais de segurança de Actions em vez disso)
• Revisão de ações compostas autônomas ou fluxos de trabalho reutilizáveis fora do contexto de um fluxo de trabalho chamador (use esta habilidade ao analisar um fluxo de trabalho que os referencia via uses:)
• Realização de testes de injeção de prompt em tempo de execução (esta é uma orientação de análise estática, não exploração)
• Auditoria de sistemas de CI/CD não-GitHub (Jenkins, GitLab CI, CircleCI)
• Correção automática ou modificação de arquivos de fluxo de trabalho (esta habilidade relata descobertas, não modifica arquivos)

Racionalizações para Rejeitar

Ao auditar ações agentes, rejeite estas racionalizações comuns. Cada uma representa um atalho de raciocínio que leva a descobertas perdidas.

1. "Isso só roda em PRs de mantenedores" Errado porque ignora pull_request_target, issue_comment e outros eventos de gatilho que expõem ações à entrada externa. Atacantes não precisam de acesso de escrita para acionar esses fluxos de trabalho. Um evento pull_request_target é executado no contexto do branch base, não do branch do PR, o que significa que qualquer contribuinte externo pode acioná-lo abrindo um PR.

2. "Usamos allowed_tools para restringir o que ele pode fazer" Errado porque as restrições de ferramentas ainda podem ser usadas como arma. Mesmo ferramentas restritas como echo podem ser abusadas para exfiltração de dados via expansão de subshell (echo $(env)). Uma lista de permissão de ferramentas reduz a superfície de ataque, mas não a elimina. Ferramentas limitadas != ferramentas seguras.

3. "Não há ${{ }} no prompt, então é seguro" Errado porque este é o clássico erro do intermediário de variável de ambiente. Os dados fluem através de blocos env: para o campo de prompt com zero expressões visíveis no próprio prompt. O YAML parece limpo, mas o agente de IA ainda recebe entrada controlada pelo atacante. Este é o vetor mais comumente perdido porque os revisores procuram apenas injeção de expressão direta.

4. "O sandbox impede qualquer dano real" Errado porque configurações incorretas do sandbox (danger-full-access, Bash(*), --yolo) desativam as proteções inteiramente. Mesmo sandboxes configurados corretamente vazam segredos se o agente de IA puder ler variáveis de ambiente ou arquivos montados. A fronteira do sandbox é tão forte quanto sua configuração.

Metodologia de Auditoria

Siga estas etapas em ordem. Cada etapa se baseia na anterior.

Etapa 0: Determinar o Modo de Análise

Se o usuário fornecer uma URL de repositório do GitHub ou um identificador owner/repo, use o modo de análise remota. Caso contrário, use o modo de análise local (prossiga para a Etapa 1).

Análise de URL

Extraia owner/repo e ref opcionais da entrada do usuário:

…