pull_request_target が 12 月 2 日に既定で止まる：公開リポジトリでいま確かめること

GitHub は 11 月 2 日、公開リポジトリで pull_request_target のワークフローを既定で止めると発表しました。

予定

対象は、GitHub Free・Team・Enterprise Cloud の公開リポジトリです。非公開と社内（internal）のリポジトリ、GitHub Enterprise Server は対象外です。

なぜ止めるのか

pull_request_target は、フォークから来た PR に対しても、元のリポジトリの文脈で動きます。つまり、秘密の値に手が届きます。GitHub は「ワークフローがフォークの信頼できないコードを動かすと、そのコードがパイプラインを乗っ取ったり、秘密を盗んだりしうる（If a workflow executes untrusted code from a fork, that code could compromise your pipeline or steal secrets.）」と説明しています。

AI のボットを動かしている人へ

フォークからの PR にコメントやラベルを付ける AI のレビューのボットは、PR に書き込む権限を得るために pull_request_target を使うことがよくあります。

PR の中のコードやテキストを AI に読ませるなら、それは外から来た信頼できない入力です。PR の本文に紛れ込んだ指示に AI が従えば、秘密の値に手が届く文脈で、思わぬ操作をしかねません。ボットのワークフローが、何を読み、どの権限で動いているかを、この機会に見直しましょう。

続けたい時

• Actions のイベントの決まり（event policy）で、pull_request_target を許可する。
• ワークフローのファイルを指定して、決めたワークフローだけを許可する。

許可する前に、そのワークフローがフォークのコードをチェックアウトして動かしていないか、秘密の値をどこで使っているかを確かめるのが安全です。

作り手にとっての意味

試しの停止は、日本時間の深夜です。止まっても気づきにくい時間なので、11 月 9 日より前に、評価のモードで確かめておくのがおすすめです。止まって困るワークフローがあれば、12 月 2 日までに、許可するか、作りを変えるかを決めておきましょう。