Недавно наткнулся на новость, что злоумышленники подменяют релизы на GitHub-проектах и через них распространяют вредоносные бинарники — это коснулось проекта Swarm, но и любой тул, который мы используем в автоматизации, может быть под угрозой. У меня на практике несколько CI-пайплайнов и скриптов, которые вешаются на публичные репозитории: автоскрипты для развёртывания ботов, контейнерные образы, периодические обновления в cron. Боюсь, что при автоматическом апдейте из релизов могу получить «подменёнку» и прокатить её в продакшен или на домашний сервер. Сейчас делаю: 1) фиксирую версии в зависимостях и не ставлю «latest», 2) подписываю сборки в своих репозиториях, 3) проигнорировал автоапдейты релизов. С кем-то из коллег внедряли проверку подписи релизов или контрольные суммы в CI — это удобно, но требует допработы. Как вы решаете риск скомпрометированных релизов и что практикуете в пайплайнах, чтобы безопасно подтягивать бинарники/релизы из внешних репозиториев? Поделитесь конкретными шагами и скриптами (если можно) или опытом инцидентов.