03/02/2026 –, Dumas
GitHub Actions est devenu incontournable pour le CI/CD, mais reste insecure by default. En 2025, plusieurs supply chain attacks (tj-actions, s1ngularity, GhostAction, Shai-Hulud) ont exfiltré des secrets, prouvant que les attaquants ciblent massivement la CI. Les bonnes pratiques classiques (pin d’actions, limiter les secrets) sont loin d’être suffisantes.
Ce talk montre comment ces attaques fonctionnent, pourquoi le modèle de sécurité actuel de GitHub est inadapté et surtout quelles défenses concrètes adopter : scoped secrets avec règles d’approbation, permissions minimales sur le GITHUB_TOKEN, egress controls, durcissement des runners et outils de protection runtime.
Thierry Abaléa est cofondateur et CEO de Shipfox, une plateforme qui accélère GitHub Actions.
Auparavant, il a été VP of Engineering chez GitGuardian, l’application la plus installée sur le GitHub Marketplace, spécialisée dans la détection et la remédiation des secrets exposés, ainsi que VP of Engineering chez Alma.
Avec une expertise à l’intersection de la CI/CD, du DevSecOps et des pratiques d’ingénierie modernes, il partage une vision pragmatique : sécuriser et optimiser la CI/CD sans ralentir les équipes.