L'abuso del flusso di lavoro degli sviluppatori consiste nell'usare strumenti, abitudini e routine di programmazione normali per distribuire codice malevolo. Invece di entrare con un exploit rumoroso, un attaccante si nasconde all'interno di percorsi fidati come repository di codice, gestori di pacchetti, script di build, compiti di colloquio o file di progetto condivisi. Il contenuto malevolo può sembrare un esercizio lavorativo, un aggiornamento di una libreria o uno script di supporto, quindi la vittima lo esegue con poca sospetto.
Questo è importante perché gli sviluppatori spesso lavorano con privilegi elevati e materiale sensibile come codice sorgente, credenziali, chiavi di firma e token cloud. Un flusso di lavoro abusato può trasformare un'azione di routine in esecuzione di codice, furto di segreti o accesso persistente. Le difese includono l'isolamento dei progetti non attendibili, la revisione delle fasi di installazione e build, il blocco delle dipendenze a versioni specifiche, la disattivazione dei comportamenti di esecuzione automatica e il mantenimento dei segreti fuori dagli endpoint usati per i test. Nelle operazioni di sicurezza, un'attività sospetta degli sviluppatori viene trattata come un problema di abuso della fiducia, non solo come rilevamento di malware.