CNCF：불변 다이제스트 고정, 최소 권한 토큰, 임시 러너——더 안전한 GitHub Actions 파이프라인을 위한 레시피 카드

Cloud Native Computing Foundation（CNCF）기술 자문 그룹（TAG）보안은 2026년 5월 4일 실용 가이드 **「GitHub Actions CI 의존성 보안——레시피 카드」**를 발표했습니다. 저자 Marina Moore, Evan Anderson, Sherine Khoury는 CI/CD 파이프라인의 공급망 위험에 집중하여 유지 관리자와 DevSecOps 팀을 위한 5가지 구체적인 보안 실천법을 제공합니다.

GitHub Actions가 공급망 공격의 공격 표면인 이유는?

저자들은 문제를 명확하게 표현합니다: 「서드파티 액션을 실행하는 것은 해당 코드를 복제하여 자신의 권한 공간 내에서 실행하는 것과 동일합니다.」 손상된 의존성은 비밀（API 키, 배포 자격 증명）의 노출, 빌드 전 코드 수정, 또는 레지스트리로의 패키지 배포 방해를 초래할 수 있습니다.

5가지 추천 실천법은 무엇인가?

1. 사용 전 평가 — 검증된 조직의 액션이나 GitHub 검증이 있는 것을 우선하고, 정기적인 업데이트와 활발한 커뮤니티를 살펴봅니다. 마지막 커밋이 1년 전이고 기여자가 3명인 액션은 알 수 없는 패키지만큼 위험합니다.

2. 불변 다이제스트에 고정 — 가변 태그（@v1 등）를 고유한 커밋 SHA 해시로 교체합니다. 그렇지 않으면 「업스트림 태그를 업데이트할 권한이 있는 누구나 귀하의 재료를 변경할 수 있습니다」——업스트림 계정의 손상이 동일한 태그 이름의 조용한 재시작으로 전파됩니다.

3. 의존성 자동 업데이트 — Dependabot이나 Renovate를 사용하여 액션을 정기적으로 새로고침하여 「최신 보안 업데이트의 혜택을 받습니다」. 자동 업데이트 없는 고정은 오래된 버전에 머물게 합니다.

4. 최소 권한 토큰 접근 — GITHUB_TOKEN 권한을 워크플로우에 필요한 최소한으로 제한합니다. 기본 권한은 너무 넓습니다; 워크플로우가 실제로 필요한 권한을 명시적으로 선언하면 손상 시 피해 범위를 크게 줄입니다.

5. 러너 인프라 선택 — GitHub 호스팅 임시 러너와 자체 호스팅 러너 사이에서 보안 트레이드오프를 인식하며 선택합니다. 임시 러너는 깨끗한 디스크로 각 작업을 시작하고 종료합니다; 자체 호스팅 러너는 제어권을 제공하지만 자체적인 강화가 필요합니다.

CNCF가 구체적으로 추천하는 도구는?

CNCF 기사는 위 실천법을 처리하는 구체적인 오픈소스 도구를 명시합니다:

• zizmor, frizbee — 보안 문제에 대한 워크플로우 스캔
• pinact, pin-github-action, ratchet — 커밋 SHA로의 자동 고정
• scorecard — 의존성 저장소의 보안 자동 스코어링
• Dependabot, Renovate — 풀 리퀘스트를 통한 자동 업데이트

레시피 카드 형식은 실행 가능합니다——이는 이론적 분석이 아니라 DevOps 팀이 즉시 적용할 수 있는 체크리스트입니다.

이 기사는 2026년 5월 4일 cncf.io에 게시되었습니다.