Escenario: un commit de madrugada con permisos que no cuadran

A las 03:42:15 UTC, se introdujo un commit no firmado (7f9a1b2c3d4e) en la rama principal del repositorio central aparentando provenir del desarrollador principal ([email protected]). De inmediato, un token de bot (lead_dev_bot_token) disparó el pipeline .github/workflows/deploy.yml solicitando las credenciales de producción AWS_PROD_DEPLOY_KEY y DB_SECRET. La correlación de la falta de firma GPG con el acceso nocturno a secretos confirmó un robo de token antes de que se completara el despliegue.

Indica el valor de audit_alert que figura en la tabla ci_pipeline_runs para la ejecución investigada.

Lección tras el caso {#leccion}

En empresas de software y entornos SaaS, el ciclo de vida de desarrollo (SDLC) y las tuberías de integración y despliegue continuos (CI/CD) son el corazón de la organización y el objetivo más codiciado para los adversarios que buscan envenenar la cadena de suministro. La confianza nunca puede basarse en la dirección de correo del autor de un commit, fácilmente falsificable: exige firmas criptográficas obligatorias (GPG/SSH), revisión estricta por pares en ramas protegidas y un control exhaustivo sobre el acceso a variables secretas en los ejecutores de CI/CD. El cazador DevSecOps supervisa la integridad del código desde el primer commit hasta el despliegue final en producción.