เจาะลึกความปลอดภัย CI: บทเรียนจากการส่งมอบ ego-lite

Maya Patel นักพัฒนาซอฟต์แวร์ได้เผยแพร่บทความบน Dev.to สะท้อนเหตุการณ์ความปลอดภัยครั้งสำคัญในไตรมาสเดียวกันที่สร้างความเสียหายเกินกว่ารายงานหลังเกิดเหตุจะประเมินไว้ โดยปัญหาแรกเกิดขึ้นจากการใช้ Action แบบไม่ตรึงค่า SHA เช่น uses: some-org/setup-toolchain@v1 ซึ่งเป็นเพียงแท็กธรรมดา เมื่อแท็กดังกล่าวถูกขยับเปลี่ยนในวันอังคาร ส่งผลให้สคริปต์ติดตั้งเบื้องหลังอ่านค่า $GITHUB_TOKEN แล้วแอบพุชคอมมิตไปยังสาขาที่ทีมงานไม่ได้เฝ้าระวัง ทีมงานใช้เวลาถึง 90 นาทีจึงจับผิดได้เนื่องจากมีผู้รีวิวสังเกตเห็นขั้นตอนการสร้าง (Build Step) ที่เปลี่ยนชื่อไปในล็อก

ปัญหาที่สองคือภาวะ Concurrency Fork Bomb เมื่อการพุชโค้ดทุกครั้งไปยัง PR Branch ไปกระตุ้น Full Matrix ทั้งหมดโดยไม่มีการยกเลิกงานเดิม และลูปการบังคับพุช (Force-push) ของผู้ร่วมContributor รายหนึ่งทำให้มีคิวงานค้างเติ่งถึง 1,100 งานข้ามคืน ส่งผลให้โควต้า Linux Runner ที่มีอยู่ถูกเผาผลาญไปถึง 3 สัปดาห์ภายในเวลาเพียง 6 ชั่วโมงเท่านั้น โดยที่ตัวบิลด์ไม่ได้พัง แต่กลับสร้างภาระหนักอึ้งให้กับระบบ

บทเรียนเหล่านี้เกิดขึ้นระหว่างการผสาน citrolabs/ego-lite ซึ่งเป็นทูล킷ที่ส่งมอบเซสชันเบราว์เซอร์ที่ล็อกอินแล้วให้กับกระบวนการของ Agent โดยผู้เขียนระบุว่าทางออกไม่ใช่การเพิ่มแฟล็กในไฟล์ YAML แต่เป็นการแบ่งไปป์ไลน์ออกเป็นโซนที่มีกฎเกณฑ์ชัดเจน ได้แก่ PR Gate สำหรับอินพุตที่ไม่น่าเชื่อถือ (สิทธิ์แบบอ่านอย่างเดียว ไม่มีซีเคร็ต ยกเลิกงานดุดัน และตรึง Action ทุกตัวด้วย SHA พร้อมระบุเวอร์ชันในคอมเมนต์) และ Publish Stage สำหรับฝั่งที่เชื่อถือได้ (ทำงานเฉพาะบน Branch หลัก สืบทอดซีเคร็ต และไม่มีการยกเลิกกลางคัน)

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

นอกจากการแบ่งโซนแล้ว การทำ Smoke Test ยังมีความสำคัญอย่างยิ่ง เนื่องจากหน้าที่ของ ego-lite คือการส่งมอบเซสชันเบราว์เซอร์ให้อージェントกระบวนการทำงาน ซึ่งความเสียหายส่วนใหญ่มักแสดงผลในรูปแบบเบราว์เซอร์เปิดขึ้นมาแต่ Agent ได้หน้าจอเปล่า (Blank Page) ซึ่ง Unit Test ทั่วไปไม่สามารถตรวจจับได้ การชี้ BaseURL ไปยัง Staging Relay จึงช่วยจับข้อผิดพลาดด้านการกำหนดค่า (Config Regressions) ได้อย่างแม่นยำ