OIDC не панацея: как крадут токены из GitHub Actions
Перевод статьи о том, почему OIDC не решает всех проблем безопасности CI/CD. На примере атак actions-cool/issues-helper и Megalodon (5561 репозиторий-ловушка) показано, что временные OIDC-токены можно украсть из переменных окружения раннера. Нужны дополнительные меры: минимальные права, изоляция шагов, проверка кода.