Un runner di GitHub Actions è l'ambiente di esecuzione che svolge i job del workflow per un repository. Può essere ospitato da GitHub, dove il runner viene creato temporaneamente per un job, oppure self-hosted, dove l'organizzazione gestisce la macchina o il container. Il runner è il punto in cui si eseguono realmente i passaggi di build, gli script e l'automazione.
Questo è importante per la sicurezza perché il runner spesso ha accesso al codice del repository, agli input del workflow e, a volte, a secret o token. Se un attaccante compromette un repository o abusa di un workflow, il runner può diventare un punto di partenza per la scansione, il furto di dati o ulteriori intrusioni. In difesa, limita l'ambito dei token, esamina le azioni di terze parti, preferisci runner effimeri quando possibile e monitora l'esecuzione anomala del workflow o l'accesso ai secret. Un runner self-hosted compromesso è particolarmente rischioso perché può mantenere il controllo dell'attaccante oltre un singolo job.