I segreti del workflow sono credenziali sensibili rese disponibili a un job CI/CD automatizzato, come chiavi API, token cloud, chiavi di firma o password di servizio. In sistemi come GitHub Actions, di solito vengono inseriti solo quando un workflow viene eseguito in un contesto di repository attendibile e servono a consentire all'automazione di distribuire codice, pubblicare pacchetti o chiamare API private senza esporre il valore grezzo nel repository.
Sono importanti perché qualsiasi job che può leggere un segreto di solito può usarlo come identità di quel job. Gli aggressori cercano errori nei confini di fiducia: un workflow attivato da un issue, un commento o una pull request può in seguito recuperare codice controllato dall'attaccante o elaborare dati non attendibili pur continuando a portare con sé i segreti. Se ciò accade, il segreto può essere esfiltrato tramite log, richieste di rete, artefatti o un runner compromesso. I difensori riducono il rischio con token a privilegi minimi, credenziali a breve durata, separazione tra job non attendibili e privilegiati e una gestione attenta di trigger come pull_request_target.