Un workflow CI è una pipeline automatizzata di integrazione continua che compila, testa e convalida il codice ogni volta che si verifica un commit, una pull request o un evento di release. Molti workflow eseguono anche passaggi di generazione del codice, installazione delle dipendenze, packaging o pubblicazione, quindi fanno molto più che compilare software.
Nella sicurezza informatica, i workflow CI sono importanti perché spesso dispongono di permessi di alto valore: accesso in scrittura al repository, chiavi di firma, token API e segreti per il cloud o per la pubblicazione di pacchetti. Se un attaccante compromette una dipendenza, uno script di build o la definizione stessa del workflow, potrebbe riuscire a esfiltrare segreti, manomettere il codice generato o distribuire artefatti malevoli. I difensori riducono questo rischio con il principio del privilegio minimo, l'ambito limitato dei segreti, dipendenze bloccate, build bloccate, runner isolati e la revisione obbligatoria dell'output generato e delle modifiche di rilascio.