Un commit malevolo è una modifica al codice effettuata per introdurre in un repository un comportamento dannoso, nascosto o ingannevole. Può aggiungere backdoor, indebolire la convalida, reindirizzare i download, rubare segreti o mascherare una logica rischiosa come un normale aggiornamento di manutenzione. Poiché i commit sono spesso considerati attendibili come parte dello sviluppo normale, possono essere un modo efficace per introdurre abuso nel software.
Nella sicurezza informatica, i commit malevoli sono importanti perché prendono di mira la supply chain del software: se un aggressore ottiene accesso al repository, compromette l'account di un manutentore o sfrutta un progetto abbandonato, un singolo commit può influire su molti utenti a valle. Le difese includono la revisione del codice, i commit firmati, le protezioni dei rami, l'accesso con il privilegio minimo e il monitoraggio di cambiamenti insoliti nella proprietà o nella cronologia. Negli ecosistemi di pacchetti, un commit sospetto può essere il primo segnale che un flusso di lavoro di manutenzione legittimo è stato trasformato in un percorso di attacco.