ci-cd

一项安全研究揭示了一种名为Megalodon的技术，通过利用CI工作流大规模后门GitHub仓库。

npm账户'atool'被入侵，导致317个包中发布了637个恶意版本。该载荷窃取凭据，通过AI编码工具和系统服务建立持久化，并通过GitHub外泄数据。

本文指出，AI 编程智能体的失败源于系统设计不佳，而非模型能力限制。文章提出了一套包含知识、护栏和反馈循环的三层“控制框架”，以可靠地交付生产级代码。

AI 驱动的终端初创公司 Warp 已公开推出生产环境就绪的“oz-skills”，包含 15 项自动化 Agent 技能，可自动执行 CI 失败修复、GitHub Issue 分类与清理、SEO 审计等任务。

GitHub通过API代理记录Token使用并建立每日优化工作流，减少了未使用的MCP工具注册带来的开销，从而提升了其代理工作流的Token效率。

一位开发者分享了他们在 Gleam 单仓库中测试 BEAM 与 JavaScript 两套运行时的 GitHub Actions 配置，采用矩阵策略并严格执行格式检查。

在 Anthropic 的 Claude Code CLI 和 SDK 中发现了严重命令注入漏洞（CVE-2026-35022，CVSS 9.8），攻击者能够通过环境变量、文件路径和身份验证助手执行任意命令并窃取凭据。这些缺陷使得在 CI/CD 环境中能够进行毒化流水线执行攻击，需要立即修补和配置更改。

# Rakuten 借助 Codex 将问题修复速度提升一倍 来源：[https://openai.com/index/rakuten/](https://openai.com/index/rakuten/) [Rakuten\（在新窗口中打开）](https://www.rakuten.com/?src=googadw-Search&eeid=17879&utm_channel=sem&utm_medium=sem&utm_source=11146983516&utm_campaign=b&utm_content=c&utm_term=ggl&utm_pub=109630179055&utm_size=kwd-301015505171&mkwid=0001&acct=b&ds_kids=301015505171&dest_stack=act&gclsrc=aw.ds&gad_source=1&gad_campaignid=11146983516&gbraid=0AAAAAD5nKBB5rzb6HrU7mt3

Jenkins是一个领先的开源自动化服务器，基于Java构建，用于CI/CD、测试、部署以及自动化开发工作流。

Openship 是一个开源、可自托管的部署平台，内置 CI/CD，支持任何技术栈、数据库、域名、SSL 等，可通过桌面应用、网页仪表盘或 CLI 访问。

一个用于检出仓库的 GitHub Action，使工作流能够访问代码。