GitHub Actions 2026 보안 로드맵 안내

소프트웨어 공급망 공격이 CI/CD 자동화 시스템을 직접 겨냥하면서 보안 위협이 커지고 있다. 공격자들은 신뢰할 수 없는 코드 실행, 관찰 불가능한 악성 워크플로, 과도한 권한을 가진 자격 증명 탈취 등을 통해 공격을 수행한다.

GitHub는 이를 해결하기 위해 GitHub Actions 2026 보안 로드맵을 발표했다. 이번 로드맵은 생태계, 공격 표면, 인프라라는 세 가지 계층을 중심으로 보안을 강화하는 데 집중한다.

먼저 생태계(Ecosystem) 보안을 위해 워크플로 수준의 의존성 잠금(dependency locking) 기능을 도입한다. YAML 파일에 dependencies: 섹션을 추가하여 모든 직접 및 간접 의존성을 commit SHA로 고정한다. 이는 Go 언어의 go.mod + go.sum과 유사한 방식으로, 워크플로의 결정론적 실행과 감사 가능성을 보장한다.

또한 **공격 표면(Attack surface)**을 줄이기 위해 정책 기반 실행과 보안 기본 설정을 도입하며, 인프라(Infrastructure) 계층에서는 CI/CD 러너를 위한 실시간 관찰 가능성과 네트워크 경계 설정을 강화할 계획이다.