GitHub Actions, 워크플로 실행 주체·이벤트 제어 공개 프리뷰

GitHub 공식 변경 로그에 따르면 GitHub는 2026년 6월 18일 Actions 워크플로 실행 보호 기능을 공개 프리뷰로 공개했다. 이 기능은 GitHub Enterprise, 조직, 저장소 관리자가 워크플로를 실행할 수 있는 주체와 허용 이벤트를 allow list 방식으로 정의하도록 하는 보안 정책이다.

기존 GitHub Actions에서는 워크플로가 이를 트리거한 커밋 안의 워크플로 파일을 기준으로 실행됐다. GitHub는 이 구조에서 저장소 접근 권한을 가진 공격자가 워크플로 파일을 바꿔 악성 코드를 실행할 수 있었다고 설명했다. 새 기능은 Actions가 실행 전에 중앙 규칙을 평가하도록 해, 허용되지 않은 주체나 이벤트가 워크플로를 실행하지 못하게 하는 데 초점을 둔다.

이번 기능은 GitHub rulesets 프레임워크 위에 구축됐다. 관리자는 조직 전체 규칙을 만들고, 저장소 사용자 지정 속성을 이용해 특정 저장소 범위로 정책을 조정할 수 있다. GitHub는 evaluate mode도 제공해 실제 차단에 앞서 어떤 실행이 막힐지 확인할 수 있다고 밝혔다.

초기 규칙 유형은 actor rule과 event rule 두 가지다. actor rule은 개별 사용자, 저장소 역할, GitHub Apps, Copilot, Dependabot 등 실행 주체를 제어한다. event rule은 push, pull_request, pull_request_target, workflow_dispatch 같은 이벤트 허용 범위를 정한다. 기본적으로 저장소 쓰기 권한자는 워크플로를 실행할 수 있지만, 새 정책을 쓰면 코드 기여 권한과 CI 실행 권한을 분리할 수 있다.

GitHub는 이 기능이 실제 공격 패턴을 줄이기 위한 조치라고 설명했다. 공개 저장소에서 자주 문제가 되는 pull_request_target 남용, workflow_dispatch 수동 실행 악용, 신뢰도가 낮은 계정의 워크플로 실행, 단일 워크플로 파일의 설정 오류를 중앙 정책으로 차단하는 방식이다.

개발팀 입장에서는 CI/CD 보안 운영 단위가 바뀐다는 점이 중요하다. 그동안 GitHub Actions 보안은 개별 저장소의 YAML 검토, 권한 축소, secrets 관리, 외부 액션 고정에 의존하는 경우가 많았다. 워크플로 실행 보호는 이 중 실행 조건을 조직 정책으로 끌어올려, 여러 저장소를 운영하는 기업이 동일한 기준을 적용하기 쉽게 만든다.

다만 이번 공개는 정식 제공이 아니라 공개 프리뷰 단계다. 실제 적용 범위와 세부 정책은 GitHub Enterprise 또는 조직 설정, 저장소 권한 구조, 기존 Actions 사용 방식에 따라 달라질 수 있다. 운영팀은 우선 evaluate mode로 차단 영향을 확인하고, 배포·릴리스·보안 스캔처럼 민감한 워크플로부터 단계적으로 정책을 적용할 필요가 있다.

출처: GitHub Changelog https://github.blog/changelog/2026-06-18-control-who-and-what-triggers-github-actions-workflows
출처: GitHub Docs https://docs.github.com/actions