Un runner ospitato da GitHub è una macchina virtuale effimera che GitHub Actions avvia per eseguire un job di workflow e poi distrugge quando il job termina. Poiché è temporaneo, è un modo pratico per compilare, testare e distribuire il codice senza gestire la propria infrastruttura.
Nella sicurezza informatica, il runner è importante perché, mentre il job è in esecuzione, è ancora un ambiente di esecuzione attivo. Può accedere al codice del repository, agli output di build, alle variabili di ambiente e a eventuali segreti o token esposti al workflow. Se un attaccante può influenzare un passaggio shell tramite injection di script o un altro errore del workflow, il runner può diventare un punto d'appoggio per l'esecuzione di comandi e un luogo in cui raccogliere credenziali. I difensori riducono questo rischio trattando gli input del workflow come non attendibili, usando autorizzazioni con privilegi minimi, evitando l'interpolazione diretta nella shell e bloccando le azioni di terze parti a commit fissi.