แท็ก

#GitHub Actions

5 บทความ

GitHub อัปเดตความปลอดภัยสามอย่างในสองวัน: AI Scan สแกน PR ภาษาที่ CodeQL ไม่รองรับ (GA), Copilot แก้ alert แบบเอเจนต์แล้วรัน CodeQL ยืนยันก่อนเปิด PR (GA) และ lockfile สำหรับ GitHub Actions ปักทุก action ไว้ที่ commit SHA (พรีวิว)
เครื่องมือนักพัฒนา

GitHub อัปเดตความปลอดภัยสามอย่างในสองวัน: AI Scan สแกน PR ภาษาที่ CodeQL ไม่รองรับ (GA), Copilot แก้ alert แบบเอเจนต์แล้วรัน CodeQL ยืนยันก่อนเปิด PR (GA) และ lockfile สำหรับ GitHub Actions ปักทุก action ไว้ที่ commit SHA (พรีวิว)

GitHub เปิดพรีวิว workflow lockfile สำหรับ Actions (14 ต.ค. 2026) ใช้ปักทุก action รวมถึงตัวที่เรียกต่อกันเป็นทอดๆ ไว้ที่ commit SHA และในวันที่ 15 ต.ค. ประกาศ GA สองฟีเจอร์ คือ AI Scan สำหรับ PR ที่สแกน PHP, Bash, Terraform และ Dockerfile ซึ่ง CodeQL ไม่ครอบคลุม (เป็นคำแนะนำ บล็อก merge ไม่ได้) และ agentic autofix ที่ให้ Copilot แก้ alert แล้วรัน CodeQL ยืนยันก่อนเปิด draft PR

· อ่าน 4 นาที
Zod 4.6.6 บน npm ไม่ได้ติดมัลแวร์ — commit อันตรายที่ HN ตื่นตระหนกคือเหตุการณ์เมื่อ 21 ก.ย. ซึ่งถูก revert ไปแล้ว แต่ยังโผล่ในประวัติของรีลีส
การแฮ็ก

Zod 4.6.6 บน npm ไม่ได้ติดมัลแวร์ — commit อันตรายที่ HN ตื่นตระหนกคือเหตุการณ์เมื่อ 21 ก.ย. ซึ่งถูก revert ไปแล้ว แต่ยังโผล่ในประวัติของรีลีส

กระทู้ 'Zod 4.6.6 compromised by malware?' ขึ้นหน้าแรก Hacker News วันนี้ เราดาวน์โหลด tarball ของ 4.6.6 มาตรวจเองแล้ว ไม่มีไฟล์ loader และไม่มี preinstall ส่วน commit ที่ฝังตัวโหลดมัลแวร์ซึ่งใช้ Ethereum เป็นช่องทางสั่งการนั้น ถูก push ขึ้น main ตั้งแต่ 21 ก.ย. และถูก revert ภายในวันเดียวกัน แต่ยังอยู่ในประวัติ commit ระหว่าง v4.6.5 กับ v4.6.6

· อ่าน 5 นาที
เมื่อ AI "ซ่อม" โค้ดแล้วเปิดช่องแทน — Copilot Autofix ทำให้ repo ของ Snowflake ถูกเจาะจน token Jira หลุด
ช่องโหว่

เมื่อ AI "ซ่อม" โค้ดแล้วเปิดช่องแทน — Copilot Autofix ทำให้ repo ของ Snowflake ถูกเจาะจน token Jira หลุด

Wiz เปิดเผย 17 ส.ค. 2026 ว่า PR ที่มี "Copilot Autofix powered by AI" เป็น co-author ได้แทนที่โค้ดที่ปลอดภัยด้วยแพตเทิร์นที่มีช่องโหว่ script injection ใน workflow ของ Snowflake จนดึง token เข้า Jira ภายในของบริษัทออกมาได้ — และระบบรีวิวความปลอดภัยด้วย AI ของ GitHub เองก็ไม่จับ

· อ่าน 6 นาที
GitLost: หลอกเอเจนต์ AI ของ GitHub ให้แอบดึงโค้ด private repo มาโพสต์ให้คนทั้งโลกอ่าน — แค่เปิด issue ใบเดียว
เครื่องมือนักพัฒนา

GitLost: หลอกเอเจนต์ AI ของ GitHub ให้แอบดึงโค้ด private repo มาโพสต์ให้คนทั้งโลกอ่าน — แค่เปิด issue ใบเดียว

นักวิจัยจาก Noma Security เปิดเผยช่องโหว่ 'GitLost' — ผู้โจมตีเพียงเปิด GitHub issue ใน public repo ขององค์กร แล้วซ่อนคำสั่งเป็นภาษาอังกฤษธรรมดา ก็หลอกเอเจนต์ใน GitHub Agentic Workflows ให้ดึงเนื้อหาจาก private repo มาโพสต์เป็นคอมเมนต์สาธารณะได้ ไม่ต้องมี credential หรือสิทธิ์ใด ๆ เลย

· อ่าน 6 นาที
GitHub Copilot CLI รันใน GitHub Actions ได้โดยไม่ต้องใช้ PAT อีกต่อไป — auth ด้วย GITHUB_TOKEN ในตัว ตัด secret ที่ต้องเก็บทิ้ง
เครื่องมือนักพัฒนา

GitHub Copilot CLI รันใน GitHub Actions ได้โดยไม่ต้องใช้ PAT อีกต่อไป — auth ด้วย GITHUB_TOKEN ในตัว ตัด secret ที่ต้องเก็บทิ้ง

GitHub ประกาศให้ Copilot CLI ยืนยันตัวตนใน GitHub Actions ได้ด้วย GITHUB_TOKEN ในตัว workflow แทนการต้องเก็บ Personal Access Token (PAT) ไว้เป็น secret — แค่ให้สิทธิ์ copilot-requests: write ก็รัน coding agent ใน pipeline ได้ ตัดภาระด้านความปลอดภัยของ token อายุยาวออกไปทั้งก้อน

· อ่าน 4 นาที