Detecting Supply Chain Attacks in CI/CD 是一个面向安全运营场景的技能，用于发现 CI/CD 流水线中的供应链攻击向量。
用途 该技能在以下情况使用：调查需要检测 CI/CD 供应链攻击的安全事件；为该领域构建检测规则或威胁狩猎查询；SOC 分析师需要针对此类分析的结构化流程；验证相关攻击技术的安全监控覆盖情况。
主要能力 技能通过解析 GitHub Actions 工作流 YAML，检查未固定的依赖、脚本注入向量与密钥暴露情况。列举的关键供应链风险包括：未固定版本的 GitHub Actions（使用 @main 而非 SHA）；通过 ${{ github.event }} 表达式进行的脚本注入；GITHUB_TOKEN 权限过于宽松；拥有仓库写权限的第三方 Action；通过公共/私有包名冲突实现的依赖混淆。
使用方式 示例代码遍历 .github/workflows 目录下的 *.yml 文件，使用 yaml.safe_load 加载工作流，遍历 jobs 与 steps，检查 uses 字段是否包含 @ 且 @ 后未以 sha 开头，从而输出未固定 Action 的告警。另一示例检查 run 步骤中是否同时出现 ${{ 与 github.event，以发现脚本注入风险。
适用场景 适用于安全事件调查、检测规则与威胁狩猎查询编写、SOC 分析师的结构化分析流程，以及验证安全监控对相关攻击技术的覆盖情况。
前置条件 需要熟悉安全运营概念与工具；具备用于安全执行的测试或实验环境；Python 3.8+ 及所需依赖已安装；对任何测试活动拥有适当授权。
限制 资料未提供该技能的具体支持平台范围、是否收费、价格、运行性能或效果数据，这些事实暂未提供。