Un tag mutabile è un'etichetta di versione che può essere spostata da un commit a un altro. In Git e nei sistemi CI/CD, i tag vengono spesso usati per indicare una release o una versione di un'azione, ma a differenza di uno SHA di commit completo, un tag non garantisce che venga sempre recuperato lo stesso codice.
Questo è importante nella sicurezza informatica perché gli aggressori possono abusare della deriva dei tag nei percorsi della supply chain. Se un flusso di lavoro fa riferimento a un GitHub Action di terze parti tramite tag, il codice eseguito in seguito può differire da quello revisionato in precedenza. Un tag può essere modificato intenzionalmente da un maintainer o dirottato dopo una compromissione, trasformando una dipendenza attendibile in una non sicura. I difensori riducono questo rischio bloccando i flussi di lavoro a uno SHA di commit completo, limitando i privilegi dei flussi di lavoro e verificando qualsiasi riferimento che usi ancora un tag o il nome di un branch.