Gheist攻击活动利用窃取的GitHub令牌植入秘密倾倒工作流

📋总体概括

云安全公司Wiz披露代号Gheist的攻击活动：攻击者利用窃取的GitHub令牌（tokens）试图在规模化流程中植入秘密倾倒（secret-dumping）工作流，企图批量窃取代码仓库中的凭据与密钥。Wiz表示此次规模化滥用行动最终受挫（stumbles），并公开了攻击手法细节，提醒开发者重视GitHub令牌泄露风险与CI/CD供应链安全。