Bài viết này do AI tạo ra, tổng hợp từ GitHub Changelog ngày 09/11/2026.
GitHub mở rộng Secret Scanning sang log của GitHub Actions ở dạng public preview. Đây là thay đổi đáng chú ý vì token thường không nằm trong source code: chúng bị lộ khi script bật chế độ debug, in biến môi trường, trả lỗi từ CLI hoặc ghi nhầm cấu hình vào output của job. Tính năng mới quét log của workflow sau khi run hoàn tất và đưa kết quả về cùng danh sách cảnh báo Secret Scanning của repository.
Log là nơi các pipeline ghép dữ liệu từ source, dependency, API, cloud và deployment. Một dòng echo, stack trace hoặc tool chạy verbose có thể đẩy credential ra nơi nhiều người có quyền đọc hơn production secret store. Việc quét sau khi run kết thúc giúp phát hiện sự cố đã xảy ra, nhưng không làm token an toàn ngay lúc nó xuất hiện: đội vận hành vẫn cần thu hồi hoặc rotate credential bị lộ.
GitHub chỉ quét các workflow run hoàn thành sau khi enterprise bật policy; log cũ không được backfill. Tính năng dùng provider patterns. Generic patterns, custom patterns, secret do AI phát hiện và secret đã được Actions masking sẽ không được phát hiện trong preview. Alert từ workflow log cũng chưa tạo notification, vì vậy đội bảo mật phải chủ động xem Secret Scanning alert list hoặc nối dữ liệu này vào quy trình triage hiện có.
Quản trị viên GitHub Enterprise Cloud vào Enterprise settings, chọn Policies, rồi Advanced Security và bật Secret scanning for Actions workflow logs ở phạm vi All repositories. Policy chỉ áp dụng cho repository đã bật Secret Scanning theo license phù hợp. Trước khi rollout rộng, nên kiểm tra phạm vi repo, người có quyền xem log và quy trình xử lý alert ngoài giờ.
Secret scanning ở log là lớp phát hiện sau sự cố. Pipeline vẫn cần lưu secret trong GitHub Actions secrets hoặc secret manager, cấp token ngắn hạn qua OIDC khi phù hợp, giới hạn permission theo job và tránh truyền credential qua command line. Masking giúp giảm hiển thị tình cờ nhưng không thể coi là kiểm soát duy nhất, nhất là với chuỗi bị biến đổi hoặc data được tool serialize lại.
Đưa log Actions vào cùng bề mặt Secret Scanning giúp đội bảo mật thấy một đường rò rỉ lâu nay hay bị tách khỏi code review. Giá trị lớn nhất là giữ alert, liên kết run và validity check trong một nơi để triage nhanh hơn. Caveat cũng rất rõ: preview mặc định tắt, không quét lịch sử, chưa có notification và không bao phủ custom/generic/AI-detected pattern. Enterprise nên bật thử ở nhóm repository có quy trình rotation tốt, đo false positive và thời gian xử lý trước khi áp policy toàn bộ tổ chức.
GitHub Changelog, “Secret scanning detects secrets in GitHub Actions workflow logs”, 09/11/2026. Bài công khai không đặt liên kết nguồn ngoài.
