O build que levou a própria chave: recuperando o GITHUB_TOKEN de um artefato do Actions

Todo job do GitHub Actions recebe um GITHUB_TOKEN de curta duração (prefixo ghs_), restrito ao seu repositório com as permissões que o workflow concede. O actions/checkout o grava no .git/config do checkout por padrão (persist-credentials: true), como um http.https://github.com/.extraheader com AUTHORIZATION: basic e o base64 de x-access-token:<token>, para que as etapas seguintes de git push funcionem sem configuração.

Base64 é uma codificação, não criptografia: quem lê o arquivo fica com o token. Em 2024 a Unit 42 encontrou repositórios públicos cujos workflows enviavam o diretório de trabalho inteiro como artefato (eles chamaram isso de ArtiPACKED). Artefatos de repositórios públicos podem ser baixados por qualquer usuário logado e, desde o actions/upload-artifact@v4, ficam disponíveis enquanto o job ainda está rodando, ou seja, com o token ainda válido.

• Usar o ls simples. .git, .github e .npmrc são dotfiles: use ls -a, find ou grep -r.
• Responder com o token ghp_. A linha comentada no .npmrc é um personal access token antigo (ghp_). O job rodou com um token ghs_.
• Responder com o valor em base64. Ele é o par user:password codificado: decodifique e fique só com a parte depois de x-access-token:.
• Tomar ${{ secrets.GITHUB_TOKEN }} ao pé da letra. O workflow só cita o nome do secret: o valor está no config do checkout.
• Esperar pelo git. Esta máquina não tem git instalado: cat .git/config lê o mesmo que git config --list mostraria.

• Defina persist-credentials: false no actions/checkout e passe um token explicitamente apenas para a etapa que faz push.
• Envie só o resultado do build (path: dist), nunca ., e deixe include-hidden-files no padrão false.
• Declare o mínimo de permissions: para o job (contents: read, a menos que ele precise fazer push).
• Escaneie os workflows atrás desses padrões (o zizmor sinaliza o ArtiPACKED) e rotacione qualquer secret de longa duração que tenha ido parar em um artefato.