L'isolamento del runner è un controllo di sicurezza che separa l'esecuzione dei task dall'applicazione principale. Un "runner" è il componente che esegue job, script o passaggi di workflow. Mantenendolo isolato in un processo separato, un container, una VM o un sandbox con restrizioni, una compromissione in un singolo task ha meno probabilità di esporre l'intera piattaforma.
Questo è importante perché i motori di workflow e le piattaforme di automazione gestiscono spesso secret, webhook e azioni privilegiate. Se un attaccante riesce ad abusare di un passaggio vulnerabile, di input malevoli o di un plugin, l'isolamento del runner aiuta a contenere i danni e limita il raggio d'impatto. In attacchi reali, un isolamento debole può consentire alla esecuzione di codice di diffondersi da un workflow alle credenziali condivise o ai servizi interni. I difensori usano isolamento, privilegio minimo, restrizioni di rete e identità di runtime separate per rendere l'esecuzione dei task più sicura e più facile da monitorare.