I metadati CI sono i dettagli di configurazione e operativi prodotti dai sistemi di integrazione continua. Possono includere nomi delle pipeline, definizioni dei job, etichette dei runner, variabili d'ambiente, target di build, nomi degli artifact e log di stato. Sebbene di solito non siano il codice sorgente stesso, spesso rivelano come il software viene compilato, testato e distribuito.
Nella sicurezza informatica, i metadati CI sono importanti perché possono esporre dati utili di ricognizione agli aggressori. Se un pacchetto malevolo, un'estensione o uno script può leggere queste informazioni, può apprendere la struttura interna del progetto, i nomi dei servizi, i pattern di deployment o le pratiche di gestione dei segreti. I difensori trattano i metadati CI come parte della superficie di attacco: limitano l'accesso, riducono al minimo ciò che i sistemi di build espongono, ruotano le variabili sensibili e rivedono eventuali raccolte insolite legate alla CI in malware o attacchi alla supply chain. Anche piccole fughe di dati possono aiutare un intruso a passare dalla semplice curiosità a una compromissione mirata.